Un análisis de un sistema híbrido de acceso biométrico del fabricante chino ZKTeco ha descubierto dos docenas de fallas de seguridad que los atacantes podrían utilizar para anular la autenticación, robar datos biométricos e incluso implementar puertas traseras maliciosas.
“Al agregar datos de usuario aleatorios a la base de datos o usar un código QR falso, un actor nefasto puede fácilmente eludir el proceso de verificación y obtener acceso no autorizado”, Kaspersky dicho. “Los atacantes también pueden robar y filtrar datos biométricos, manipular dispositivos de forma remota y desplegar puertas traseras”.
Las 24 fallas abarcan seis inyecciones de SQL, siete desbordamientos de búfer basados en pilas, cinco inyecciones de comandos, cuatro escrituras de archivos arbitrarios y dos lecturas de archivos arbitrarias. A continuación se incluye una breve descripción de cada tipo de vulnerabilidad:
- CVE-2023-3938 (Puntuación CVSS: 4,6): una falla de inyección SQL al mostrar un código QR en la cámara del dispositivo al pasar una solicitud especialmente diseñada que contiene una comilla, lo que permite a un atacante autenticarse como cualquier usuario en la base de datos.
- CVE-2023-3939 (Puntuación CVSS: 10.0) – Un conjunto de fallas de inyección de comandos que permite la ejecución de comandos arbitrarios del sistema operativo con privilegios de root
- CVE-2023-3940 (Puntuación CVSS: 7,5): un conjunto de fallos de lectura de archivos arbitrarios que permiten a un atacante eludir los controles de seguridad y acceder a cualquier archivo del sistema, incluidos datos confidenciales del usuario y configuraciones del sistema.
- CVE-2023-3941 (Puntuación CVSS: 10.0): un conjunto de fallas de escritura de archivos arbitrarios que permiten a un atacante escribir cualquier archivo en el sistema con privilegios de root, incluida la alteración de la base de datos de usuarios para agregar usuarios deshonestos.
- CVE-2023-3942 (Puntuación CVSS: 7,5): un conjunto de fallas de inyección SQL que permite a un atacante inyectar código SQL malicioso y realizar operaciones de bases de datos no autorizadas y desviar datos confidenciales.
- CVE-2023-3943 (Puntuación CVSS: 10.0): un conjunto de fallas de desbordamiento de búfer basadas en pila que permiten a un atacante ejecutar código arbitrario
“El impacto de las vulnerabilidades descubiertas es alarmantemente diverso”, afirmó el investigador de seguridad Georgy Kiguradze. “Para empezar, los atacantes pueden vender datos biométricos robados en la web oscura, sometiendo a las personas afectadas a mayores riesgos de ataques de ingeniería social sofisticados y deepfake”.
Además, la explotación exitosa de las deficiencias podría permitir a actores nefastos obtener acceso a zonas que de otro modo estarían restringidas e incluso implantar puertas traseras para infiltrarse en redes críticas para realizar ciberespionaje o ataques disruptivos.
La firma rusa de ciberseguridad, que identificó las fallas luego de realizar ingeniería inversa al firmware (versión ZAM170-NF-1.8.25-7354-Ver1.0.0) y al protocolo propietario utilizado para comunicarse con el dispositivo, dijo que no tiene ninguna visibilidad sobre si estos problemas se han solucionado.
Para mitigar el riesgo de ataques, se recomienda trasladar el uso del lector biométrico a un segmento de red separado, utilizar contraseñas de administrador sólidas, mejorar la configuración de seguridad del dispositivo, minimizar el uso de códigos QR y mantener los sistemas actualizados.
“Los dispositivos biométricos diseñados para mejorar la seguridad física pueden ofrecer funciones prácticas y útiles e introducir nuevos riesgos para su sistema de TI”, Kaspersky dicho.
“Cuando una tecnología avanzada como la biométrica está encerrada en un dispositivo mal protegido, esto prácticamente anula los beneficios de la autenticación biométrica. Por lo tanto, un terminal insuficientemente configurado se vuelve vulnerable a ataques simples, lo que facilita que un intruso viole la seguridad física del áreas críticas de la organización.”
About the Author
