«Лаборатория Касперского» выявила многочисленные уязвимости в биометрическом терминале международного производителя ZKTeco.
Они могут быть использованы для обхода системы контроля доступа и физического проникновения в охраняемые места, а также для кражи биометрических данных, внесения изменений в базы и установки бэкдоров.
Биометрические считыватели, о которых идёт речь, широко используются в самых разных отраслях по всему миру — от атомных электростанций и производств до офисов и организаций сферы здравоохранения. Они поддерживают четыре способа аутентификации пользователя: биометрический (с помощью лица), по паролю, электронному пропуску или QR-коду. В них могут храниться биометрические данные тысяч людей. Эксперты «Лаборатории Касперского» сгруппировали все найденные уязвимости и зарегистрировали их, предварительно сообщив о них производителю.
Уязвимость, позволяющая злоумышленникам получать физический доступ в закрытые зоны (CVE-2023-3938). Одна из групп уязвимостей может быть использована для кибератак на основе SQL-инъекции. Злоумышленники могу внедрить данные в QR-код для доступа в те места, куда не попасть без авторизации. Если терминал начнёт обрабатывать запрос, содержащий такой вредоносный QR-код, база данных ошибочно идентифицирует его как исходящий от последнего авторизованного легитимного пользователя. Таким образом атака с использованием этого типа уязвимостей даёт возможность получать несанкционированный доступ к терминалу и физически попадать в закрытые зоны.
«Помимо замены QR-кода, существует ещё одна потенциальная возможность „обмануть“ систему и получить доступ в закрытые охраняемые зоны. Если злоумышленник получит доступ к базе данных устройства, он может использовать другие уязвимости, чтобы скачать фотографию легитимного пользователя, распечатать её и использовать для обмана камеры устройства, чтобы получить доступ в охраняемую зону. Этот метод, конечно, имеет определённые ограничения. Фотография обязательно должна быть распечатана или выведена на экран телефона, а тепловые датчики на биометрическом терминале — отключены. Однако такой метод все равно представляет собой серьезную угрозу», — комментирует Георгий Кигурадзе, эксперт по кибербезопасности в «Лаборатории Касперского».
Кража биометрических данных, установка бэкдоров. Другая группа уязвимостей (CVE-2023-3940) предоставляет потенциальному злоумышленнику доступ к любому файлу в системе и возможность извлечь его. Это означает, что атакующие могут получить доступ к конфиденциальным биометрическим данным пользователей и хэшам паролей, а в дальнейшем компрометировать корпоративные учётные данные. Однако интерпретация украденных биометрических данных остается крайне сложной задачей.
Ещё одна группа уязвимостей (CVE-2023-3941) позволяет вносить изменения в базу данных биометрического считывателя. Таким образом злоумышленники могут загружать в неё собственные данные, например фотографии, то есть самостоятельно добавлять себя в список авторизованных пользователей и затем проходить через турникеты или двери. Также эта группа уязвимостей позволяет заменять исполняемые файлы, что потенциально делает возможным создание бэкдора.
Ещё две группы уязвимостей (CVE-2023-3939, CVE-2023-3943) позволяют выполнять произвольные команды или код на устройстве, предоставляя злоумышленнику полный контроль с наивысшим уровнем привилегий. Это означает, что устройство может быть использовано для проведения атак на другие сетевые узлы, а значит, под угрозой находится вся корпоративная инфраструктура.
Более подробно о видах уязвимостей в биометрических терминалах ZKTeco можно прочитать по ссылке: https://securelist.ru/biometric-terminal-vulnerabilities/109673/.
Для предотвращения атак с использованием перечисленных уязвимостей «Лаборатория Касперского» советует предприятиям, где используются такие модели терминалов:
- выделить их в отдельный сегмент сети;
- использовать надёжные пароли администратора, обязательно заменить установленные по умолчанию;
- проверить и усилить настройки безопасности устройства, включить тепловые датчики на биометрическом терминале, чтобы избежать авторизации по случайной фотографии;
- свести к минимуму использование QR-кодов;
- регулярно обновлять прошивку.
