كاسبرسكي تكشف عن 24 ثغرة أمنية في أنظمة الوصول البيومترية
تاريخ النشر: 12th, June 2024 GMT
كشفت كاسبرسكي عيوباً متعددة في البوابة الهجينة البيومترية والمصنوعة من شركة ZKTeco العالمية. فمن خلال إضافة بيانات مستخدم عشوائية إلى قاعدة البيانات، أو استخدام رمز استجابة سريعة (QR) زائف، يمكن لطرف إجرامي أن يلتف بسهولة على عملية التحقق، ويحصل على وصول غير مصرح به. كما يمكن للمهاجمين سرقة بيانات القياسات الحيوية وتسريبها، والتلاعب بالأجهزة عن بُعد، ونشر الأبواب الخلفية.
تم اكتشاف العيوب ضمن سياق البحث الذي أجراه خبراء تقييم الأمن في كاسبرسكي حيال برمجيات ومعدات أجهزة ZKTeco التي يتم توزيعها لتباع تحت علامات تجارية أخرى (منتجات علامة بيضاء). وقد تمت مشاركة جميع الكشوفات بشكل استباقي مع الشركة المصنعة قبل الإفصاح عنها للعامة.
يتم استخدام أجهزة قراءة القياسات الحيوية المذكورة على صعيد واسع عبر قطاعات متنوعة بداية من المنشآت النووية أو الكيميائية، إلى المكاتب والمستشفيات. وتدعم هذه الأجهزة التعرف على الوجه، والمصادقة عبر رمز الاستجابة السريعة (QR)، إلى جانب القدرة على تخزين آلاف النماذج الوجهية. ومع ذلك، فهي تصبح معرضة للعديد من الهجمات نتيجة نقاط الضعف المكتشفة حديثاً. وقد قامت كاسبرسكي بتجميع العيوب استناداً إلى التصحيحات اللازمة، وتسجيلها ضمن قوائم CVE (نقاط الضعف والتعرض الشائعة) محددة.
التجاوز المادي عبر رمز الاستجابة السريعة (QR) الزائف
تسمح ثغرة CVE-2023-3938 لمجرمي الإنترنت بتنفيذ هجوم إلكتروني يُعرف باسم حقن SQL، والذي يتضمن دس تعليمات برمجية خبيثة في سلاسل مرسلة إلى قاعدة بيانات المحطة الطرفية. ويمكن للمهاجمين حقن بيانات محددة في رمز الاستجابة السريعة (QR) المستخدم للوصول إلى مواقع ممنوعة. وبالنتيجة، يمكنهم الحصول على وصول غير مصرح به إلى البوابة والوصول مادياً إلى المواقع الممنوعة.
عندما تقوم البوابة بمعالجة طلب يحتوي على هذا النوع من رموز الاستجابة السريعة (QR) الخبيثة، فإن قاعدة البيانات تميزه عن طريق الخطأ على أنه صادر عن آخر مستخدم مشروع سمح له بالدخول. فإذا كان رمز الاستجابة السريعة (QR) الزائف يحتوي على كمية مبالغ فيها من البيانات الخبيثة، فبدلاً من منح الوصول، تتم إعادة تشغيل الجهاز.
يقول جورجي كيجورادزي، مختص أمن تطبيقات أول في كاسبرسكي: «بالإضافة إلى استبدال رمز الاستجابة السريعة (QR)، هناك مسار هجوم مادي آخر مثير للاهتمام. فإذا تمكن شخص ذو نية خبيثة من الوصول إلى قاعدة بيانات الجهاز، فبمقدوره استغلال نقاط ضعف أخرى لتنزيل صورة مستخدم مشروعة، وطباعتها، واستخدامها لخداع كاميرا الجهاز للوصول إلى منطقة محمية. وتعاني هذه الطريقة من بعض المحدوديات بطبيعة الحال. حيث تتطلب صورة مطبوعة، ولا بد من إيقاف تشغيل اكتشاف الحرارة. لكن ورغم ذلك، فهي لا تزال تشكل تهديداً محتملاً كبيراً.»
سرقة بيانات القياسات الحيوية، ونشر الأبواب الخلفية، ومخاطر أخرى
تعد مجموعة ثغرات CVE-2023-3940 عيوباً في أحد مكونات البرنامج، والتي تسمح بقراءة الملفات بشكل اعتباطي. حيث يتيح استغلال هذه الثغرات الأمنية للمهاجم المحتمل إمكانية الوصول إلى أي ملف على النظام، ويمكّنه من استخراجه. ويتضمن ذلك بيانات القياسات الحيوية الحساسة للمستخدم، وكلمات المرور المشفرة بشكل يزيد انتهاك بيانات اعتماد الشركة. وعلى نحو مماثل، توفر ثغرات CVE-2023-3942 طريقة أخرى لاسترداد معلومات المستخدم والنظام الحساسة من قواعد بيانات أجهزة القياس الحيوي، وذلك من خلال هجمات حقن SQL.
يمكن لمصادر التهديد الوصول إلى قاعدة بيانات قارئ بيانات حيوية، بالإضافة لقدرتها على سرقتها أو العبث بها عن بُعد عبر استغلال ثغرات CVE-2023-3941. حيث تنشأ مجموعة الثغرات الأمنية هذه من التحقق غير الصحيح من مدخلات المستخدم عبر عدة مكونات للنظام. ويتيح استغلالها للمهاجمين رفع بياناتهم الخاصة، مثل الصور، مما يعني قدرتهم على إضافة أفراد غير مصرح لهم إلى قاعدة البيانات. وهذا ما قد يمكّنهم من تجاوز البوابات الدوارة أو المداخل خلسة. كما أن هناك ميزة هامة أخرى لهذه الثغرة الأمنية، وهي تمكين الجناة من استبدال الملفات التنفيذية، مما قد يؤدي إلى إنشاء باب خلفي.
يتيح الاستغلال الناجح لمجموعتين أخرتين من العيوب الجديدة – CVE-2023-3939 و CVE-2023-3943 – تنفيذ أوامر أو تعليمات برمجية عشوائية على الجهاز، مما يمنح المهاجم السيطرة الكاملة مع أعلى مستوى من الامتيازات. ويسمح ذلك لمصدر التهديد بالعبث بعمل الجهاز، والاستفادة منه لشن هجمات على عقد الشبكة الأخرى، وتوسيع نطاق الخرق عبر البنية التحتية الأوسع للشركة.
أكمل جورجي كيجورادزي شرحه قائلاً: «إن تأثير نقاط الضعف المكتشفة متعدد الأشكال على نحو مثير للقلق. ففي البداية، يمكن للمهاجمين بيع بيانات القياس الحيوية المسروقة عبر الإنترنت المظلم، معرضين الأفراد المتضررين لأخطار متزايدة من هجمات التزييف العميق والهندسة الاجتماعية المتطورة. وعلاوة على ذلك، فإن القدرة على تبديل قاعدة البيانات تحول غرض أجهزة التحكم في الوصول الأصلي ليصبح سلاحاً مهدداً، مما قد يمنح الجهات المعادية وصولاً إلى مواضع ممنوعة. وأخيراً، تتيح بعض نقاط الضعف إمكانية وضع باب خفي للتسلل خلسة إلى شبكات المؤسسات الأخرى، مما يسهل تطوير الهجمات المعقدة، بما في ذلك التجسس السيبراني أو التخريب المفتعل. وتؤكد جميع هذه العوامل على الحاجة الملحة إلى تصحيح نقاط الضعف هذه، بالإضافة إلى التدقيق العميق لإعدادات أمان الجهاز للأشخاص الذين يستخدمون أجهزتهم في المناطق المؤسساتية.»
حتى وقت نشر معلومات الثغرة الأمنية هذه، لم يكن بحوزة كاسبرسكي بيانات متاحة عن حالة إصدار التصحيحات الأمنية من عدمه.
إلى جانب تثبيت الإصلاح، تنصح كاسبرسكي باتخاذ الخطوات التالية لإحباط الهجمات الإلكترونية ذات الصلة:
اعزل استخدام قارئ القياسات الحيوية ضمن حيز منفصل من الشبكة.
استخدم كلمات مرور قوية للمسؤولين، وقم بتغيير الكلمات الافتراضية.
دقق وحسّن إعدادات أمان الجهاز، معززاً الإعدادات الافتراضية الضعيفة. فكر في تفعيل أو إضافة ميزة اكتشاف درجة الحرارة لتجنب الدخول باستخدام صورة عشوائية.
قلل من استخدام وظيفة رمز الاستجابة السريعة (QR)، إن أمكن.
قم بتحديث البرمجيات الثابتة بانتظام.
المصدر: بوابة الوفد
كلمات دلالية: رمز الاستجابة السریعة قاعدة البیانات نقاط الضعف إلى قاعدة
إقرأ أيضاً:
تيك توك مهدد بغرامة ضخمة بسبب نقل بيانات أوروبية إلى الصين
من المتوقع أن تفرض لجنة حماية البيانات الأيرلندية غرامة تتجاوز 500 مليون يورو (552 مليون دولار أمريكي) على شركة “بايت دانس” المحدودة، مالكة تطبيق تيك توك، لنقلها بيانات مستخدمين أوروبيين إلى الصين بشكل غير قانوني.
ووفقا لوكالة “بلومبرج”، يأتي هذا الإجراء في وقت يواجه فيه تطبيق الفيديوهات الصيني “تيك توك” انتقادات عالمية متزايدة بشأن قضايا الخصوصية وحماية البيانات.
ووفقا لمصادر مطلعة، من المتوقع أن تصدر اللجنة هذه العقوبة ضد تيك توك قبل نهاية هذا الشهر، عقب تحقيق كشف عن انتهاك الشركة الصينية للائحة العامة لحماية البيانات GDPR، التابعة للاتحاد الأوروبي بإرسال بيانات المستخدمين إلى الصين ليتمكن مهندسوها من الوصول إليها.
ومن المتوقع أن تكون الغرامة المتوقعة ثالث أعلى غرامة بموجب اللائحة العامة لحماية البيانات، بعد غرامات سابقة فرضت على شركة “ميتا” تقدر بـ 1.2 مليار يورو، وشركة أمازون تقدر بـ746 مليون يورو.
وعلى الرغم من تحديد المبلغ المتوقع، إلا أن الحجم النهائي للغرامة وتوقيت القرار لا يزالان غير مؤكدين.
في تطور متصل، تواجه شركة بايت دانس ضغوطا كبيرة، مع انقضاء الموعد النهائي المحدد لها في 5 أبريل لإيجاد مشترٍ لعمليات تيك توك في الولايات المتحدة، وإلا فقد يواجه التطبيق حظرا في البلاد.
وبرزت شركات كبيرة مثل أمازون، وشركات أقل شهرة مثل آب لوفين كورب، كمرشحين محتملين للاستحواذ وسط التوترات بين الولايات المتحدة والصين.
وتشمل الإجراءات المستقبلية التي ستتخذها لجنة حماية البيانات الأيرلندية أيضا إصدار أوامر لشركة تيك توك بوقف المعالجة غير القانونية للبيانات في الصين ضمن إطار زمني محدد.
وتأتي هذه الخطوات في وقت تواجه فيه الصين انتقادات شديدة من نشطاء الخصوصية لممارسات يزعمون أنها تنتهك الحقوق الفردية.
تجدر الإشارة إلى أن تيك توك قد تعرض سابقا لانتقادات من لجنة حماية البيانات الأيرلندية، ففي سبتمبر 2023، فرضت اللجنة غرامة قدرها 345 مليون يورو على تيك توك لفشلها في حماية بيانات الأطفال بشكل كاف.
وكانت اللجنة دقت ناقوس الخطر سابقا بشأن قيام شركات كبرى بنقل البيانات الشخصية للمواطنين الأوروبيين إلى دول خارج الاتحاد الأوروبي، ما دفعها إلى فرض غرامة قياسية على “ميتا” لفشلها في حماية البيانات من التجسس الأمريكي.
ويعود تاريخ التحقيق في ممارسات تيك توك إلى عام 2021، عندما أعربت هيلين ديكسون، الرئيسة السابقة لهيئة حماية البيانات الأيرلندية، عن قلقها إزاء احتمال وصول مهندسي الصيانة والذكاء الاصطناعي الصينيين إلى بيانات المستخدمين الأوروبيين.