CVE-2025-59097 in Access Manager 92xx-k5
Sumário
de VulDB • 02/07/2026
A aplicação exos 9300 pode ser utilizada para configurar Gestores de Acesso (por exemplo, modelos 92xx, 9230 e 9290). A configuração é realizada através de uma interface gráfica de utilizador no servidor dormakaba exos. Assim que o botão guardar é clicado na aplicação exos 9300, toda a configuração é enviada para o Gestor de Acesso selecionado via SOAP. Por predefinição, a solicitação SOAP é enviada sem qualquer autenticação ou autorização prévia. Embora a autenticação e a autorização possam ser configuradas utilizando IPsec para dispositivos da série 92xx-K5 e mTLS para dispositivos da série 92xx-K7, estas não estão ativadas por predefinição e devem, portanto, ser ativas através de passos adicionais.
Esta configuração insegura por omissão permite que um atacante com acesso ao nível da rede controle completamente todo o ambiente. Um atacante é capaz, por exemplo, de realizar facilmente as seguintes tarefas sem autenticação prévia: - Reconfigurar os Gestores de Acesso (por exemplo, remover requisitos do sistema de alarme) - Reconfigurar livremente as entradas e saídas - Abrir permanentemente todas as portas conectadas - Abrir todas as portas durante um intervalo de tempo definido - Alterar a palavra-passe de administrador - E muitas outras
O acesso ao nível da rede pode ser obtido devido à segmentação insuficiente da rede, bem como à ausência de firewalls LAN. Foram identificados dispositivos com configuração insegura que estão diretamente expostos à internet.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.