CVE-2025-59097 in Access Manager 92xx-k5
요약
\~에 의해 VulDB • 2026. 07. 02.
exos 9300 애플리케이션은 Access Manager(예: 92xx, 9230 및 9290)를 구성하는 데 사용될 수 있습니다. 이 구성은 dormakaba exos 서버의 그래픽 사용자 인터페이스(GUI)에서 수행됩니다. exos 9300에서 저장 버튼을 클릭하면 전체 구성이 SOAP 프로토콜을 통해 선택된 Access Manager로 전송됩니다. 기본적으로 SOAP 요청은 사전 인증이나 권한 부여 없이 전송됩니다. 비록 92xx-K5 장치의 경우 IPsec과 92xx-K7 장치의 경우 mTLS를 사용하여 인증 및 권한 부여를 구성할 수 있지만, 이는 기본값으로 활성화되지 않으며 추가 단계를 통해 명시적으로 활성화해야 합니다.
이러한 보안상 취약한 기본 설정은 네트워크 레벨에 접근 가능한 공격자가 전체 환경을 완전히 제어할 수 있게 만듭니다. 예를 들어, 공격자는 사전 인증 없이 다음과 같은 작업을 쉽게 수행할 수 있습니다: - Access Manager 재구성 (예: 경고 시스템 요구사항 제거) - 입력 및 출력 단자의 자유로운 재구성 - 연결된 모든 도어를 영구적으로 개방 - 정의된 시간 간격 동안 모든 도어 개방 - 관리자 비밀번호 변경 - 그 외 다수
불충분한 네트워크 세그멘테이션과 부재 중인 LAN 방화벽으로 인해 네트워크 레벨 접근이 가능해집니다. 보안상 취약하게 구성된 장치가 인터넷에 직접 노출되어 있는 것으로 확인되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.