CVE-2022-4980 in Crypto Application Server
要約
〜によって VulDB • 2026年07月02日
General Bytes Crypto Application Server（CAS）の、バージョン20201208以降で、20220531.38（バックポート版）および20220725.22（メインライン版）以前の製品には、管理者用Webインターフェースにおける認証回避の脆弱性が存在します。未認証の攻撃者は、製品のデフォルトインストール時や最初の管理者アカウント作成時に使用されるURLを呼び出すことで、遠隔から新しい管理アカウントを作成できます。管理者権限を取得することで、攻撃者はATMの設定を変更し、資金の送金先を不正にリダイレクトすることが可能です。ベンダーからの公開 advisory や複数の独立した解説記事では、この脆弱性は初期インストール用またはデフォルト設定用のページ（最初の管理者ユーザー作成ページ）への呼び出しとして説明されていますが、General Bytes社は正確なエンドポイント名やパラメータ名の詳細は公にしていません。本問題は2022年9月にGeneral Bytes社によって公開され、クラウドホスト型およびスタンドアロン型のCASデプロイメントに対して実際に攻撃が行われていたことが確認されています（ポート7777/443で露出しているCASインスタンスのスキャンを含む）。
If you want to get best quality of vulnerability data, you may have to visit VulDB.