Phát hiện 24 lỗ hổng bảo mật nghiêm trọng trong hệ thống sinh trắc học ZKTeco

Một phân tích về hệ thống truy cập sinh trắc học lai (hybrid) của nhà sản xuất Trung Quốc ZKTeco đã phát hiện ra 24 lỗ hổng bảo mật có thể bị kẻ tấn công lạm dụng để vượt qua xác thực, đánh cắp dữ liệu sinh trắc học và thậm chí triển khai các backdoor độc hại.

Kaspersky cho biết : “Bằng cách thêm dữ liệu người dùng ngẫu nhiên vào cơ sở dữ liệu hoặc sử dụng mã QR giả, tác nhân độc hại có thể dễ dàng vượt qua quá trình xác minh và có được quyền truy cập trái phép” . “Những kẻ tấn công cũng có thể đánh cắp và rò rỉ dữ liệu sinh trắc học, thao túng thiết bị từ xa và triển khai các backdoor”.

24 lỗ hổng bao gồm 6 lỗi SQL injection, 7 lỗi tràn bộ đệm, 5 lỗi command injection, 4 lỗi ghi tệp tùy ý và 2 lỗi đọc tệp tùy ý. Dưới đây là mô tả ngắn gọn về từng loại lỗ hổng.

- CVE-2023-3938 (điểm CVSS: 4.6) - Lỗ hổng SQL injection khi hiển thị mã QR vào camera của thiết bị bằng cách gửi một yêu cầu độc hại có chứa dấu ngoặc kép, dẫn đến cho phép kẻ tấn công xác thực như bất kỳ người dùng nào trong cơ sở dữ liệu

- CVE-2023-3939 (điểm CVSS: 10.0) - Một tập các lỗi command injection cho phép thực thi các lệnh hệ điều hành (OS command) tùy ý với quyền root

- CVE-2023-3940 (điểm CVSS: 7,5) - Một tập các lỗi đọc tệp tùy ý cho phép kẻ tấn công bỏ qua kiểm tra bảo mật và truy cập bất kỳ tệp tin nào trên hệ thống, bao gồm cả dữ liệu nhạy cảm của người dùng và cài đặt hệ thống

- CVE-2023-3941 (điểm CVSS: 10.0) - Một tập các lỗi ghi tệp tùy ý cho phép kẻ tấn công ghi bất kỳ tệp nào trên hệ thống với quyền root, bao gồm cả việc thay đổi cơ sở dữ liệu người dùng để tạo người dùng lừa đảo

- CVE-2023-3942 (điểm CVSS: 7,5) - Một tập các lỗi SQL injection cho phép kẻ tấn công chèn mã SQL độc hại và thực hiện các hoạt động trái phép đối với cơ sở dữ liệu cũng như lấy cắp dữ liệu nhạy cảm

- CVE-2023-3943 (điểm CVSS: 10.0) - Một tập các lỗi tràn bộ đệm dựa trên Stack cho phép kẻ tấn công thực thi mã tùy ý

Nhà nghiên cứu bảo mật Georgy Kiguradze cho biết: “Tác động của các lỗ hổng rất đa dạng và đáng báo động”. “Những kẻ tấn công có thể bán dữ liệu sinh trắc học bị đánh cắp, khiến các cá nhân bị ảnh hưởng phải đối mặt với nhiều nguy cơ bị tấn công deepfake và các cuộc tấn công kỹ thuật xã hội (social engineering) tinh vi.”

Ngoài ra, việc khai thác thành công những lỗ hổng có thể cho phép những kẻ bất chính có quyền truy cập vào các khu vực bị hạn chế và thậm chí cài cắm backdoor để xâm nhập vào các mạng quan trọng nhằm thực hiện gián điệp mạng hoặc các cuộc tấn công gây rối.

Kaspersky đã phát hiện các lỗ hổng sau khi phân tích firmware (phiên bản ZAM170-NF-1.8.25-7354-Ver1.0.0) và giao thức độc quyền được sử dụng để giao tiếp với thiết bị, cho biết họ không có thông tin nào về việc liệu những vấn đề này đã được vá hay chưa.

Để giảm thiểu nguy cơ bị tấn công, bạn nên đặt hệ thống sinh trắc học sang một phân đoạn mạng riêng biệt, sử dụng mật khẩu mạnh cho tài khoản quản trị viên, cải thiện cài đặt bảo mật thiết bị, giảm thiểu việc sử dụng mã QR và luôn cập nhật hệ thống.

Kaspersky cho biết : “Các thiết bị sinh trắc học được thiết kế để cải thiện bảo mật vật lý có thể vừa cung cấp các tính năng tiện lợi, hữu ích vừa gây ra những rủi ro mới cho hệ thống CNTT của bạn” .

"Khi công nghệ tiên tiến như sinh trắc học được đặt trong một thiết bị bảo mật kém, điều này hoàn toàn làm mất đi lợi ích của xác thực sinh trắc học. Do đó, thiết bị đầu cuối được cấu hình không đầy đủ sẽ dễ bị tấn công bởi các cuộc tấn công đơn giản, khiến kẻ xâm nhập dễ dàng vi phạm bảo mật vật lý của trong các lĩnh vực quan trọng của tổ chức.”

Nguồn: thehackernews.com.