CVE-2022-4980
Açıklama
General Bytes Crypto Application Server (CAS)'ın 20201208 versiyonundan başlayarak 20220531.38 (backport) ve 20220725.22 (mainline) öncesindeki sürümleri, yönetici web arayüzünde bir kimlik doğrulama atlatma zafiyeti içermektedir. Kimliği doğrulanmamış bir saldırgan, ürünün varsayılan kurulum / ilk yönetici oluşturma sayfası tarafından kullanılan aynı URL'yi çağırabilir ve uzaktan yeni bir yönetici hesabı oluşturabilir. Yönetici ayrıcalıkları elde eden saldırgan, ATM konfigürasyonunu değiştirerek fonların yönlendirilmesine neden olabilir. Kamuoyuna açıklanan üretici bildirimleri ve birden fazla bağımsız rapor, zafiyeti başlangıç/varsayılan kurulum veya ilk yönetim kullanıcısı oluşturma için kullanılan sayfaya yapılan bir çağrı olarak tanımlamaktadır; General Bytes kesin uç nokta/parametre adını kamuya açıklamamıştır. Sorun, bulut tabanlı ve bağımsız CAS dağıtımlarına karşı (7777/443 portlarındaki açık CAS örneklerini tarayarak) aktif olarak istismar edilmiş ve Eylül 2022'de General Bytes tarafından resmen kabul edilmiştir.
Nasıl düzeltilir
- General Bytes Crypto Application Server (CAS)20220725.22, 20220531.38 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| General Bytes Crypto Application Server (CAS) | 20201208 ≤ v < 20220725.22, 20201208 ≤ v < 20220531.38 | 20220725.22, 20220531.38 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.