14 de junio de 2024Sala de prensaSeguridad/autenticación del dispositivo Un análisis de un sistema híbrido de acceso biométrico del fabricante chino ZKTeco ha descubierto dos docenas de fallas de seguridad que los atacantes podrían utilizar para anular la autenticación, robar datos biométricos e incluso implementar puertas traseras maliciosas. «Al agregar datos de usuario aleatorios a la base de datos o usar un código QR falso, un actor nefasto puede fácilmente eludir el proceso de verificación y obtener acceso no autorizado», dijo Kaspersky. «Los atacantes también pueden robar y filtrar datos biométricos, manipular dispositivos de forma remota y desplegar puertas traseras». Las 24 fallas abarcan seis inyecciones de SQL, siete desbordamientos de búfer basados ​​en pilas, cinco inyecciones de comandos, cuatro escrituras de archivos arbitrarios y dos lecturas de archivos arbitrarias. A continuación se incluye una breve descripción de cada tipo de vulnerabilidad: CVE-2023-3938 (puntaje CVSS: 4.6): una falla de inyección SQL al mostrar un código QR en la cámara del dispositivo al pasar una solicitud especialmente diseñada que contiene una comilla, lo que permite que un atacante para autenticarse como cualquier usuario en la base de datos CVE-2023-3939 (puntuación CVSS: 10.0) – Un conjunto de fallas de inyección de comandos que permite la ejecución de comandos arbitrarios del sistema operativo con privilegios de root CVE-2023-3940 (puntuación CVSS: 7.5) – A conjunto de fallas de lectura de archivos arbitrarios que permite a un atacante eludir los controles de seguridad y acceder a cualquier archivo en el sistema, incluidos datos confidenciales del usuario y configuraciones del sistema. CVE-2023-3941 (puntuación CVSS: 10.0): un conjunto de fallas de escritura de archivos arbitrarios que permite un atacante escribir cualquier archivo en el sistema con privilegios de root, incluida la alteración de la base de datos del usuario para agregar usuarios deshonestos CVE-2023-3942 (puntuación CVSS: 7,5): un conjunto de fallas de inyección SQL que permite a un atacante inyectar código SQL malicioso y realizar operaciones de bases de datos no autorizadas y desviar datos confidenciales CVE-2023-3943 (puntuación CVSS: 10.0): un conjunto de fallas de desbordamiento de búfer basadas en pila que permite a un atacante ejecutar código arbitrario «El impacto de las vulnerabilidades descubiertas es alarmantemente diverso», seguridad afirmó el investigador Georgy Kiguradze. «Para empezar, los atacantes pueden vender datos biométricos robados en la web oscura, sometiendo a las personas afectadas a mayores riesgos de ataques de ingeniería social sofisticados y deepfake». Además, la explotación exitosa de las deficiencias podría permitir a actores nefastos obtener acceso a zonas que de otro modo estarían restringidas e incluso implantar puertas traseras para infiltrarse en redes críticas para realizar ciberespionaje o ataques disruptivos. La firma rusa de ciberseguridad, que identificó las fallas luego de realizar ingeniería inversa al firmware (versión ZAM170-NF-1.8.25-7354-Ver1.0.0) y al protocolo propietario utilizado para comunicarse con el dispositivo, dijo que no tiene ninguna visibilidad sobre si estos problemas se han solucionado. Para mitigar el riesgo de ataques, se recomienda trasladar el uso del lector biométrico a un segmento de red separado, utilizar contraseñas de administrador sólidas, mejorar la configuración de seguridad del dispositivo, minimizar el uso de códigos QR y mantener los sistemas actualizados. «Los dispositivos biométricos diseñados para mejorar la seguridad física pueden ofrecer funciones convenientes y útiles e introducir nuevos riesgos para su sistema de TI», dijo Kaspersky. «Cuando una tecnología avanzada como la biométrica está encerrada en un dispositivo mal protegido, esto prácticamente anula los beneficios de la autenticación biométrica. Por lo tanto, un terminal insuficientemente configurado se vuelve vulnerable a ataques simples, lo que facilita que un intruso viole la seguridad física del áreas críticas de la organización.» ¿Encontró interesante este artículo? Síguenos en Twitter  y LinkedIn para leer más contenido exclusivo que publicamos.