Дыры в биометрических терминалах ZKTeco позволяют обойти контроль доступа

Дыры в биометрических терминалах ZKTeco позволяют обойти контроль доступа

Дыры в биометрических терминалах ZKTeco позволяют обойти контроль доступа

Специалисты «Лаборатории Касперского» обнаружили сразу несколько уязвимостей в биометрических терминалах производства компании ZKTeco. В случае эксплуатации злоумышленники могут обойти систему контроля доступа и физически проникнуть в охраняемые места.

Кроме того, как отметили в Kaspersky, с помощью выявленных брешей можно выкрасть биометрические данные, модифицировать базы и даже установить бэкдоры.

Терминалы ZKTeco используются во многих отраслях: их можно встретить в медицинских учреждениях, на производственных предприятиях и даже атомных электростанциях.

В общей сложности устройства дают возможность аутентифицироваться четырьмя способами: с помощью биометрии (сканирование лица), по паролю, электронному пропуску и QR-коду.

Поскольку в самих терминалах могут храниться биометрические данные тысяч людей, производителю важно поддерживать должный уровень защищённости. «Лаборатория Касперского», обнаружив ряд уязвимостей, направила информацию о них вендору. Всего специалисты выявили пять проблем:

  1. CVE-2023-3938 — допускает проведение SQL-инъекции. Условные атакующие могут внедрить данные в QR-код, что поможет им попасть в охраняемые зоны. С точки зрения терминала база ошибочно идентифицирует вредоносный QR-код как последний легитимный.
  2. CVE-2023-3940 — открывает доступ к любому файлу в системе, а также возможность извлечь его. С помощью соответствующего эксплойта злоумышленники могут добраться до биометрических данных пользователей и хешей их паролей.
  3. CVE-2023-3941 — эта уязвимость позволяет внести изменения в базу данных биометрического считывателя. Другими словами, условный преступник может загрузить в БД собственные данные и добавить себя в список авторизованных пользователей.
  4. CVE-2023-3939 и CVE-2023-3943 могут привести к выполнению произвольных команд или кода на устройстве. В теории атакующий может задействовать девайс в атаках на другие сетевые узлы.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники под предлогом выплат выуживают данные у ветеранов труда

Телефонные мошенники начали атаковать ветеранов труда: от имени мэрии сообщают о якобы положенных наградах, в том числе денежных, и под этим предлогом предлагают создать личный кабинет и продиктовать персональные данные.

В связи с новыми атаками киберполиция России напоминает: сотрудники городской администрации никогда не звонят по таким поводам и не используют этот канал связи для уточнения ПДн, СНИЛС либо финансовой информации.

Личные кабинеты на госсервисах тоже не создаются по звонку — только через Госуслуги, МФЦ или отдел социальных служб местного органа власти.

При получении подозрительного звонка следует уточнить информацию по контактному номеру, указанному на сайте заявленной организации. Если сведения не подтвердятся, стоит пожаловаться оператору на спам (внести номер в черный список), а лучше поставить в известность полицию.

Заметим, предлог в виде социальных выплат при обращении к гражданам в рамках мошеннических схем не нов. Так, в прошлом году мошенники накануне Дня Победы сулили ветеранам ВОВ до 300 тыс. руб. в обмен на персональные и финансовые данные.

В этом году злоумышленники, собирающие ПДн, стали чаще представляться сотрудниками управляющих компаний, а после ввода блокировки обзвонов юрлиц вновь перевели общение с потенциальными жертвами в мессенджеры.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru