CVE-2022-4980

General Bytes Crypto Application Server (CAS)-in 20201208 versiyasından başlayaraq 20220531.38 (backport) və 20220725.22 (mainline) versiyalarından əvvəlki versiyalarında admin veb interfeysində autentifikasiyadan yan keçmə zəifliyi mövcuddur. Autentifikasiya olunmamış hücumçu məhsulun standart quraşdırma / ilk administrator hesabı yaratma səhifəsi tərəfindən istifadə edilən eyni URL-i çağıra və uzaqdan yeni inzibati hesab yarada bilər. Admin imtiyazlarını əldə etməklə hücumçu ATM konfiqurasiyasını dəyişdirə bilər ki, bu da vəsaitlərin yönləndirilməsi ilə nəticələnir. İstehsalçının ictimai bildirişlərində və bir çox müstəqil araşdırmalarda zəiflik ilkin/standart quraşdırma / ilk administrasiya istifadəçisinin yaradılması üçün istifadə olunan səhifəyə sorğu göndərilməsi kimi təsvir edilmişdir; General Bytes dəqiq endpoint/parametr adını ictimaiyyətə açıqlamamışdır. Problem bulud əsaslı və müstəqil CAS tətbiqlərinə qarşı real şəraitdə aktiv şəkildə istismar edilmiş (7777/443 portlarında açıq olan CAS nümunələri skan edilərək) və 2022-ci ilin sentyabrında General Bytes tərəfindən rəsmən təsdiqlənmişdir.