Специалисты нашли 24 уязвимости в терминале ZKTeco

«Лаборатория Касперского» обнаружила 24 уязвимости в биометрическом терминале международного производителя ZKTeco. По словам специалистов в сфере информационной безопасности, данные бреши могут быть использованы для обхода системы контроля доступа, физического проникновения в охраняемые места и для кражи биометрических данных. 

Отметим, что биометрические считыватели ZKTeco используются в самых разных отраслях по всему миру, включая атомные электростанции, производства, офисы и организаций сферы здравоохранения. Эти считыватели поддерживают четыре способа аутентификации пользователя: биометрический (с помощью лица), по паролю, электронному пропуску или QR-коду. 

Таким образом, данные устройства могут хранить биометрические данные тысяч людей. Эксперты «Лаборатории Касперского» сгруппировали все найденные уязвимости и зарегистрировали их. 

Первая группа уязвимостей CVE-2023-3938 позволяет злоумышленникам получать физический доступ в закрытые зоны. Одна из групп уязвимостей может быть использована для кибератак на основе SQL-инъекции. Злоумышленники могут внедрить данные в QR-код для доступа в те места, куда не попасть без авторизации. 

Другая группа уязвимостей CVE-2023–3940 предоставляет потенциальному злоумышленнику доступ к любому файлу в системе и возможность извлечь его. С помощью этой бреши злоумышленники могут получить доступ к конфиденциальным биометрическим данным пользователей. 

Следующая группа уязвимостей (CVE-2023–3941) позволяет злоумышленнику вносить изменения в базу данных биометрического считывателя. Взломщики могут загружать в неё собственные данные, например, фотографии. 

Еще две группы уязвимостей (CVE-2023–3939, CVE-2023–3943) позволяют выполнять произвольные команды или код на устройстве, предоставляя злоумышленнику полный контроль с наивысшим уровнем привилегий. 

Напомним, что в марте команда безопасности WhatsApp опубликовала внутреннее предупреждение коллегам. В нем сказано, что шифрование не помогает защитить переписку пользователей мессенджера от отслеживания со стороны правительств.