人気ある生体認証デバイスに脆弱性、細工したQRコードで認証可能

画像提供：マイナビニュース

Kaspersky Labは6月11日(現地時間)、「Analyzing the security properties of a ZKTeco biometric terminal｜Securelist」において、中国のZkTecoが開発した生体認証デバイスから複数の脆弱性を発見したと報じた。ZkTecoは生体認証デバイスをOEM(Original Equipment Manufacturing)供給しており、それらデバイスも影響を受けると説明している。

○脆弱性の情報

発見された脆弱性に関する情報は次のページにまとまっている。

Advisories/K-ZkTeco-2023-001.md at master klsecservices/Advisories GitHub
Advisories/K-ZkTeco-2023-002.md at master klsecservices/Advisories GitHub
Advisories/K-ZkTeco-2023-003.md at master klsecservices/Advisories GitHub
Advisories/K-ZkTeco-2023-004.md at master klsecservices/Advisories GitHub
Advisories/K-ZkTeco-2023-005.md at master klsecservices/Advisories GitHub
Advisories/K-ZkTeco-2023-006.md at master klsecservices/Advisories GitHub

発見された脆弱性の情報(CVE)は次のとおり。

CVE-2023-3938 - SQLインジェクションの脆弱性。攻撃者は任意のユーザーで認証できる

CVE-2023-3939 - OSコマンドインジェクションの脆弱性。攻撃者は管理者権限でOSコマンドを実行できる

CVE-2023-3940 - パストラバーサルの脆弱性。攻撃者はシステム上の任意のファイルにアクセスできる可能性がある

CVE-2023-3941 - パストラバーサルの脆弱性。攻撃者は管理者権限でシステム上の任意のファイルに書き込める

CVE-2023-3942 - SQLインジェクションの脆弱性。攻撃者は他のユーザーになりすましたり、不正なアクションを実行できる可能性がある