Une analyse d’un syst\u00e8me d’acc\u00e8s biom\u00e9trique hybride du fabricant chinois ZKTeco a r\u00e9v\u00e9l\u00e9 deux douzaines de failles de s\u00e9curit\u00e9 qui pourraient \u00eatre utilis\u00e9es par des attaquants pour contourner l’authentification, voler des donn\u00e9es biom\u00e9triques et m\u00eame d\u00e9ployer des portes d\u00e9rob\u00e9es malveillantes.<\/p>\n
“En ajoutant des donn\u00e9es utilisateur al\u00e9atoires \u00e0 la base de donn\u00e9es ou en utilisant un faux code QR, un acteur malveillant peut facilement contourner le processus de v\u00e9rification et obtenir un acc\u00e8s non autoris\u00e9”, Kaspersky dit<\/a>. “Les attaquants peuvent \u00e9galement voler et divulguer des donn\u00e9es biom\u00e9triques, manipuler des appareils \u00e0 distance et d\u00e9ployer des portes d\u00e9rob\u00e9es.”<\/p>\n Les 24 failles couvrent six injections SQL, sept d\u00e9passements de tampon bas\u00e9s sur la pile, cinq injections de commandes, quatre \u00e9critures de fichiers arbitraires et deux lectures de fichiers arbitraires. Une br\u00e8ve description de chaque type de vuln\u00e9rabilit\u00e9 est ci-dessous –<\/p>\n “L’impact des vuln\u00e9rabilit\u00e9s d\u00e9couvertes est d’une diversit\u00e9 alarmante”, a d\u00e9clar\u00e9 le chercheur en s\u00e9curit\u00e9 Georgy Kiguradze. “Pour commencer, les attaquants peuvent vendre des donn\u00e9es biom\u00e9triques vol\u00e9es sur le dark web, exposant ainsi les personnes concern\u00e9es \u00e0 des risques accrus d’attaques d’ing\u00e9nierie sociale sophistiqu\u00e9es et de contrefa\u00e7on.”<\/p>\n En outre, l\u2019exploitation r\u00e9ussie de ces lacunes pourrait permettre \u00e0 des acteurs malveillants d\u2019acc\u00e9der \u00e0 des zones autrement restreintes et m\u00eame d\u2019implanter des portes d\u00e9rob\u00e9es pour infiltrer des r\u00e9seaux critiques \u00e0 des fins de cyberespionnage ou d\u2019attaques perturbatrices.<\/p>\n La soci\u00e9t\u00e9 russe de cybers\u00e9curit\u00e9, qui a identifi\u00e9 les failles suite \u00e0 l’ing\u00e9nierie inverse du firmware (version ZAM170-NF-1.8.25-7354-Ver1.0.0) et du protocole propri\u00e9taire utilis\u00e9 pour communiquer avec l’appareil, a d\u00e9clar\u00e9 n’avoir aucune visibilit\u00e9 sur si ces probl\u00e8mes ont \u00e9t\u00e9 corrig\u00e9s.<\/p>\n Pour att\u00e9nuer le risque d’attaques, il est recommand\u00e9 de d\u00e9placer l’utilisation du lecteur biom\u00e9trique dans un segment de r\u00e9seau distinct, d’utiliser des mots de passe d’administrateur robustes, d’am\u00e9liorer les param\u00e8tres de s\u00e9curit\u00e9 des appareils, de minimiser l’utilisation des codes QR et de maintenir les syst\u00e8mes \u00e0 jour.<\/p>\n “Les dispositifs biom\u00e9triques con\u00e7us pour am\u00e9liorer la s\u00e9curit\u00e9 physique peuvent \u00e0 la fois offrir des fonctionnalit\u00e9s pratiques et utiles et introduire de nouveaux risques pour votre syst\u00e8me informatique”, Kaspersky dit<\/a>.<\/p>\n \u00ab Lorsqu’une technologie avanc\u00e9e comme la biom\u00e9trie est enferm\u00e9e dans un appareil mal s\u00e9curis\u00e9, cela annule pratiquement les avantages de l’authentification biom\u00e9trique. Ainsi, un terminal insuffisamment configur\u00e9 devient vuln\u00e9rable \u00e0 de simples attaques, ce qui permet \u00e0 un intrus de violer facilement la s\u00e9curit\u00e9 physique de l’appareil. les domaines critiques de l’organisation.<\/p>\n <\/p>\n\n
\n
\n
\n
\n
\n
![\"La](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/06\/Le-systeme-biometrique-ZKTeco-savere-vulnerable-a-24-failles-de.png\")
<\/a><\/center><\/div>\n