Please enter CoinGecko Free Api Key to get this plugin works.

Bl0ckch41nnewsDocenas de vulnerabilidades en terminales biométricas

12


Kaspersky ha identificado numerosos fallos en el terminal biométrico híbrido
producido por el fabricante internacional ZKTeco.
Un análisis de un sistema
híbrido de acceso biométrico del fabricante chino ha descubierto dos
docenas de fallas de seguridad que los atacantes podrían utilizar para anular
la autenticación, robar datos biométricos e incluso implementar puertas
traseras maliciosas.

«Al agregar datos de usuario aleatorios a la base de datos o usar un código
QR falso, un actor dañino puede fácilmente eludir el proceso de verificación
y obtener acceso no autorizado»
,
dijo Kaspersky.
«Los atacantes también pueden robar y filtrar datos biométricos, manipular
dispositivos de forma remota y desplegar puertas traseras».

Las 24 fallas abarcan seis inyecciones de SQL, siete desbordamientos de búfer
basados ​​en pilas, cinco inyecciones de comandos, cuatro escrituras de
archivos arbitrarios y dos lecturas de archivos arbitrarias.

A continuación se incluye una breve descripción de cada tipo de
vulnerabilidad:

  • CVE-2023-3938 (puntuación CVSS: 4,6): una falla de inyección SQL al mostrar un
    código QR en la cámara del dispositivo al pasar una solicitud especialmente
    diseñada que contiene una comilla, lo que permite a un atacante autenticarse
    como cualquier usuario en la base de datos.
  • CVE-2023-3939 (puntuación CVSS: 10.0): un conjunto de fallas de inyección de
    comandos que permite la ejecución de comandos arbitrarios del sistema
    operativo con privilegios de root
  • CVE-2023-3940
    (puntuación CVSS: 7,5): un conjunto de fallas de lectura de archivos
    arbitrarias que permite a un atacante eludir los controles de seguridad y
    acceder a cualquier archivo del sistema, incluidos datos confidenciales del
    usuario y configuraciones del sistema.
  • CVE-2023-3941
    (puntaje CVSS: 10.0): un conjunto de fallas de escritura de archivos
    arbitrarios que permiten a un atacante escribir cualquier archivo en el
    sistema con privilegios de root, incluida la alteración de la base de datos
    de usuarios para agregar usuarios no autorizados.
  • CVE-2023-3942
    (puntuación CVSS: 7,5): un conjunto de fallas de inyección SQL que permite a
    un atacante inyectar código SQL malicioso y realizar operaciones de bases de
    datos no autorizadas y desviar datos confidenciales.
  • CVE-2023-3943
    (puntuación CVSS: 10.0): un conjunto de fallas de desbordamiento de búfer
    basadas en pila que permite a un atacante ejecutar código arbitrario

«El impacto de las vulnerabilidades descubiertas es alarmantemente
diverso»
, afirmó el investigador de seguridad Georgy Kiguradze.
«Para empezar, los atacantes pueden vender datos biométricos robados en la
dark web, sometiendo a las personas afectadas a mayores riesgos de ataques
de ingeniería social sofisticados y deepfake».

Además, la explotación exitosa de las deficiencias podría permitir a actores
maliciosos obtener acceso a zonas que de otro modo estarían restringidas e
incluso implantar puertas traseras para infiltrarse en redes críticas para
realizar ciberespionaje o ataques disruptivos.

La firma rusa de ciberseguridad, que identificó las fallas luego de realizar
ingeniería inversa al firmware (versión ZAM170-NF-1.8.25-7354-Ver1.0.0) y al
protocolo propietario utilizado para comunicarse con el dispositivo, dijo que
no tiene ninguna visibilidad sobre si estos problemas se han solucionado.

Para mitigar el riesgo de ataques, se recomienda trasladar el uso del lector
biométrico a un segmento de red separado, utilizar contraseñas de
administrador sólidas, mejorar la configuración de seguridad del dispositivo,
minimizar el uso de códigos QR y mantener los sistemas actualizados.

«Los dispositivos biométricos diseñados para mejorar la seguridad física
pueden ofrecer funciones convenientes y útiles e introducir nuevos riesgos
para su sistema de TI»
, dijo Kaspersky.

Cuando una tecnología avanzada como la biométrica está encerrada en un
dispositivo mal protegido, esto prácticamente anula los beneficios de la
autenticación biométrica. Por lo tanto, un terminal insuficientemente
configurado se vuelve vulnerable a ataques simples, lo que facilita que un
intruso viole la seguridad física del áreas críticas de la organización.

Fuente:
THN



Source link

Los comentarios están cerrados.