Identificación de múltiples vulnerabilidades en terminal biométrico híbrido
Kaspersky ha descubierto un gran número de fallos de seguridad en el sistema de acceso biométrico híbrido producido por ZKTeco. El análisis reveló 24 vulnerabilidades que podrían permitir a los atacantes anular la autenticación, robar datos biométricos y establecer puertas traseras maliciosas.
Posibles ataques y riesgos asociados
Según Kaspersky, un actor dañino podría eludir el proceso de verificación mediante la adición de datos de usuario aleatorios a la base de datos o utilizando un código QR falso. Además, los atacantes podrían robar y filtrar datos biométricos, manipular dispositivos de forma remota y desplegar puertas traseras.
Tipos de vulnerabilidades encontradas
Las 24 fallas incluyen seis inyecciones SQL, siete desbordamientos de búfer basados en pilas, cinco inyecciones de comandos, cuatro escrituras de archivos arbitrarios y dos lecturas de archivos arbitrarios.
Descripción detallada de las vulnerabilidades
- CVE-2023-3938: Inyección SQL al mostrar un código QR en la cámara del dispositivo, permitiendo a un atacante autenticarse como cualquier usuario.
- CVE-2023-3939: Conjunto de fallas de inyección de comandos que permite la ejecución de comandos arbitrarios con privilegios de root.
- CVE-2023-3940: Conjunto de fallas de lectura de archivos arbitrarias, permitiendo el acceso a cualquier archivo del sistema.
- CVE-2023-3941: Conjunto de fallas de escritura de archivos arbitrarios que permite la alteración de la base de datos para agregar usuarios no autorizados.
- CVE-2023-3942: Conjunto de fallas de inyección SQL que permiten operaciones de bases de datos no autorizadas y el acceso a datos confidenciales.
- CVE-2023-3943: Conjunto de fallas de desbordamiento de búfer basadas en pila, permitiendo la ejecución de código arbitrario.
Riesgos potenciales y consecuencias
El investigador Georgy Kiguradze destacó que el impacto de las vulnerabilidades es alarmantemente diverso. Los atacantes podrían vender datos biométricos robados en la dark web, aumentando los riesgos de ataques de ingeniería social y deepfake.
Posibles consecuencias de la explotación
La explotación exitosa podría permitir a actores maliciosos acceder a zonas restringidas e implantar puertas traseras para realizar ciberespionaje o ataques disruptivos.
Estado actual de las vulnerabilidades y recomendaciones
Kaspersky no tiene visibilidad sobre si estos problemas han sido resueltos. Para mitigar el riesgo, se recomienda aislar el uso del lector biométrico en un segmento de red separado, utilizar contraseñas de administrador sólidas, mejorar la configuración de seguridad del dispositivo y minimizar el uso de códigos QR.
Conclusión
Los dispositivos biométricos diseñados para mejorar la seguridad física pueden introducir nuevos riesgos en el sistema de TI. Cuando una tecnología avanzada como la biométrica está encerrada en un dispositivo mal protegido, se vuelve vulnerable a ataques simples que facilitan la violación de la seguridad física de las áreas críticas.
