CVE-2025-59097 in Access Manager 92xx-k5
要約
〜によって VulDB • 2026年07月02日
exos 9300アプリケーションは、Access Manager（例：92xx、9230、および9290）の設定に使用できます。設定はdormakaba exosサーバー上のグラフィカルユーザーインターフェースで行われます。exos 9300で保存ボタンをクリックすると、すべての構成がSOAPを介して選択されたAccess Managerに送信されます。デフォルトでは、認証や認可の事前チェックなしでSOAPリクエストが送信されます。ただし、92xx-K5デバイスについてはIPsecを使用して、92xx-K7デバイスについてはmTLSを使用して認証と認可を設定することは可能ですが、これらはデフォルトでは有効になっておらず、追加の手順を踏んでアクティブ化する必要があります。
この安全でないデフォルト設定により、ネットワークレベルのアクセス権を持つ攻撃者は環境全体を完全に制御することができます。例えば、攻撃者は事前認証なしで以下のタスクを実行することが容易です： - Access Managerの設定変更（例：警報システム要件の削除） - 入出力ポートの自由な再構成 - すべての接続されたドアを恒久的に開ける - 定義された時間間隔中にすべてのドアを開ける - 管理者パスワードの変更 - その他多数
ネットワークレベルへのアクセスは、不十分なネットワークセグメンテーションやLANファイアウォールの欠如により取得できます。安全でない設定を持つデバイスがインターネットに対して直接公開されていることが確認されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.