CVE-2025-30184

Błąd sklasyfikowany jako CWE-288 (Authentication Bypass Using an Alternate Path or Channel) polega na tym, że mechanizm uwierzytelnienia nie jest egzekwowany dla wszystkich ścieżek dostępu do interfejsu webowego urządzenia. Atakujący może dotrzeć do chronionego interfejsu zarządczego, omijając standardową procedurę logowania poprzez niechronioną alternatywną ścieżkę URL lub kanał dostępu. Atak nie wymaga żadnych uprawnień, interakcji użytkownika ani skomplikowanych warunków — wystarczy dostęp sieciowy do urządzenia.

Nieuwierzytelniony atakujący uzyskuje pełny dostęp do interfejsu webowego urządzenia, co może umożliwić przejęcie kontroli nad konfiguracją interkomu, modyfikację ustawień SIP, zakłócenie komunikacji awaryjnej lub dalsze działania w sieci.

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje o aktualizacji firmware zawiera poradnik CISA ICS-CERT o numerze ICSA-25-155-01 (https://www.cisa.gov/news-events/ics-advisories/icsa-25-155-01). Do czasu wdrożenia łatki zaleca się ograniczenie dostępu sieciowego do interfejsu zarządczego urządzenia wyłącznie do zaufanych hostów/sieci, np. poprzez firewall lub segmentację sieci.

CyberData 011209 SIP Emergency Intercom oraz powiązane oprogramowanie firmware (wersje wskazane w referencjach producenta / poradniku CISA ICSA-25-155-01)

Podatność dotyczy urządzenia stosowanego w systemach komunikacji awaryjnej (SIP Emergency Intercom), co zwiększa potencjalne konsekwencje w środowiskach przemysłowych i infrastruktury krytycznej. Poradnik bezpieczeństwa opublikowany przez CISA w ramach serii ICS Advisories (ICSA-25-155-01).