CVE-2025-59097 in Access Manager 92xx-k5
Сводка
по VulDB • 02.07.2026
Приложение exos 9300 может использоваться для настройки контроллеров доступа (например, моделей 92xx, 9230 и 9290). Настройка выполняется в графическом интерфейсе пользователя на сервере dormakaba exos. Как только кнопка «Сохранить» нажата в приложении exos 9300, вся конфигурация отправляется выбранному контроллеру доступа через протокол SOAP. По умолчанию запросы SOAP отправляются без какой-либо предварительной аутентификации или авторизации. Хотя для устройств серии 92xx-K5 можно настроить аутентификацию и авторизацию с помощью IPsec, а для устройств серии 92xx-K7 — с использованием mTLS, по умолчанию эти функции не включены и требуют дополнительных шагов для активации.
Такая небезопасная настройка по умолчанию позволяет злоумышленнику, имеющему сетевой доступ, полностью контролировать всю среду. Злоумышленник может легко выполнять следующие действия без предварительной аутентификации: - Перенастраивать контроллеры доступа (например, отключать требования к тревожной системе) - Произвольно перенастраивать входы и выходы - Постоянно открывать все подключенные двери - Открывать все двери на заданный временной интервал - Изменять пароль администратора - И многое другое
Сетевой доступ может быть получен из-за недостаточного сегментирования сети, а также отсутствия межсетевых экранов (firewall) в локальной сети. Установлено, что устройства с небезопасной конфигурацией напрямую доступны через интернет.
If you want to get best quality of vulnerability data, you may have to visit VulDB.