«Лаборатория Касперского» заявила, что нашла 24 уязвимости в биометрическом терминале международного производителя ZKTeco. По словам ИБ-специалистов, найденные бреши могут быть использованы для обхода системы контроля доступа, физического проникновения в охраняемые места и для кражи биометрических данных, внесения изменений в базы и установки бэкдоров. Производитель был извещён о найденных уязвимостях.
Биометрические считыватели ZKTeco используются в самых разных отраслях по всему миру, включая атомные электростанции, производства, офисы и организаций сферы здравоохранения. Эти считыватели поддерживают четыре способа аутентификации пользователя: биометрический (с помощью лица), по паролю, электронному пропуску или QR-коду. Это значит, что устройства могут хранить биометрические данные тысяч людей. Эксперты «Лаборатории Касперского» сгруппировали все найденные уязвимости и зарегистрировали их.
Первая группа уязвимостей CVE-2023-3938 позволяет злоумышленникам получать физический доступ в закрытые зоны. Одна из групп уязвимостей может быть использована для кибератак на основе SQL-инъекции. Злоумышленники могут внедрить данные в QR-код для доступа в те места, куда не попасть без авторизации. Если терминал начнёт обрабатывать запрос, содержащий такой вредоносный QR-код, база данных ошибочно идентифицирует его как исходящий от последнего авторизованного легитимного пользователя. Таким образом, атака с использованием этого типа уязвимостей даёт возможность получать несанкционированный доступ к терминалу и физически попадать в закрытые зоны.
Эксперт по кибербезопасности в «Лаборатории Касперского»
«Помимо замены QR-кода, существует ещё одна потенциальная возможность „обмануть“ систему и получить доступ в закрытые охраняемые зоны.
люди
общество
самит
кибератаки
IgnatChuker