كاسبرسكي تكشف عن 24 ثغرة أمنية في أنظمة الوصول البيومترية
تاريخ النشر: 12th, June 2024 GMT
كشفت كاسبرسكي عيوباً متعددة في البوابة الهجينة البيومترية والمصنوعة من شركة ZKTeco العالمية. فمن خلال إضافة بيانات مستخدم عشوائية إلى قاعدة البيانات، أو استخدام رمز استجابة سريعة (QR) زائف، يمكن لطرف إجرامي أن يلتف بسهولة على عملية التحقق، ويحصل على وصول غير مصرح به. كما يمكن للمهاجمين سرقة بيانات القياسات الحيوية وتسريبها، والتلاعب بالأجهزة عن بُعد، ونشر الأبواب الخلفية.
تم اكتشاف العيوب ضمن سياق البحث الذي أجراه خبراء تقييم الأمن في كاسبرسكي حيال برمجيات ومعدات أجهزة ZKTeco التي يتم توزيعها لتباع تحت علامات تجارية أخرى (منتجات علامة بيضاء). وقد تمت مشاركة جميع الكشوفات بشكل استباقي مع الشركة المصنعة قبل الإفصاح عنها للعامة.
يتم استخدام أجهزة قراءة القياسات الحيوية المذكورة على صعيد واسع عبر قطاعات متنوعة بداية من المنشآت النووية أو الكيميائية، إلى المكاتب والمستشفيات. وتدعم هذه الأجهزة التعرف على الوجه، والمصادقة عبر رمز الاستجابة السريعة (QR)، إلى جانب القدرة على تخزين آلاف النماذج الوجهية. ومع ذلك، فهي تصبح معرضة للعديد من الهجمات نتيجة نقاط الضعف المكتشفة حديثاً. وقد قامت كاسبرسكي بتجميع العيوب استناداً إلى التصحيحات اللازمة، وتسجيلها ضمن قوائم CVE (نقاط الضعف والتعرض الشائعة) محددة.
التجاوز المادي عبر رمز الاستجابة السريعة (QR) الزائف
تسمح ثغرة CVE-2023-3938 لمجرمي الإنترنت بتنفيذ هجوم إلكتروني يُعرف باسم حقن SQL، والذي يتضمن دس تعليمات برمجية خبيثة في سلاسل مرسلة إلى قاعدة بيانات المحطة الطرفية. ويمكن للمهاجمين حقن بيانات محددة في رمز الاستجابة السريعة (QR) المستخدم للوصول إلى مواقع ممنوعة. وبالنتيجة، يمكنهم الحصول على وصول غير مصرح به إلى البوابة والوصول مادياً إلى المواقع الممنوعة.
عندما تقوم البوابة بمعالجة طلب يحتوي على هذا النوع من رموز الاستجابة السريعة (QR) الخبيثة، فإن قاعدة البيانات تميزه عن طريق الخطأ على أنه صادر عن آخر مستخدم مشروع سمح له بالدخول. فإذا كان رمز الاستجابة السريعة (QR) الزائف يحتوي على كمية مبالغ فيها من البيانات الخبيثة، فبدلاً من منح الوصول، تتم إعادة تشغيل الجهاز.
يقول جورجي كيجورادزي، مختص أمن تطبيقات أول في كاسبرسكي: «بالإضافة إلى استبدال رمز الاستجابة السريعة (QR)، هناك مسار هجوم مادي آخر مثير للاهتمام. فإذا تمكن شخص ذو نية خبيثة من الوصول إلى قاعدة بيانات الجهاز، فبمقدوره استغلال نقاط ضعف أخرى لتنزيل صورة مستخدم مشروعة، وطباعتها، واستخدامها لخداع كاميرا الجهاز للوصول إلى منطقة محمية. وتعاني هذه الطريقة من بعض المحدوديات بطبيعة الحال. حيث تتطلب صورة مطبوعة، ولا بد من إيقاف تشغيل اكتشاف الحرارة. لكن ورغم ذلك، فهي لا تزال تشكل تهديداً محتملاً كبيراً.»
سرقة بيانات القياسات الحيوية، ونشر الأبواب الخلفية، ومخاطر أخرى
تعد مجموعة ثغرات CVE-2023-3940 عيوباً في أحد مكونات البرنامج، والتي تسمح بقراءة الملفات بشكل اعتباطي. حيث يتيح استغلال هذه الثغرات الأمنية للمهاجم المحتمل إمكانية الوصول إلى أي ملف على النظام، ويمكّنه من استخراجه. ويتضمن ذلك بيانات القياسات الحيوية الحساسة للمستخدم، وكلمات المرور المشفرة بشكل يزيد انتهاك بيانات اعتماد الشركة. وعلى نحو مماثل، توفر ثغرات CVE-2023-3942 طريقة أخرى لاسترداد معلومات المستخدم والنظام الحساسة من قواعد بيانات أجهزة القياس الحيوي، وذلك من خلال هجمات حقن SQL.
يمكن لمصادر التهديد الوصول إلى قاعدة بيانات قارئ بيانات حيوية، بالإضافة لقدرتها على سرقتها أو العبث بها عن بُعد عبر استغلال ثغرات CVE-2023-3941. حيث تنشأ مجموعة الثغرات الأمنية هذه من التحقق غير الصحيح من مدخلات المستخدم عبر عدة مكونات للنظام. ويتيح استغلالها للمهاجمين رفع بياناتهم الخاصة، مثل الصور، مما يعني قدرتهم على إضافة أفراد غير مصرح لهم إلى قاعدة البيانات. وهذا ما قد يمكّنهم من تجاوز البوابات الدوارة أو المداخل خلسة. كما أن هناك ميزة هامة أخرى لهذه الثغرة الأمنية، وهي تمكين الجناة من استبدال الملفات التنفيذية، مما قد يؤدي إلى إنشاء باب خلفي.
يتيح الاستغلال الناجح لمجموعتين أخرتين من العيوب الجديدة – CVE-2023-3939 و CVE-2023-3943 – تنفيذ أوامر أو تعليمات برمجية عشوائية على الجهاز، مما يمنح المهاجم السيطرة الكاملة مع أعلى مستوى من الامتيازات. ويسمح ذلك لمصدر التهديد بالعبث بعمل الجهاز، والاستفادة منه لشن هجمات على عقد الشبكة الأخرى، وتوسيع نطاق الخرق عبر البنية التحتية الأوسع للشركة.
أكمل جورجي كيجورادزي شرحه قائلاً: «إن تأثير نقاط الضعف المكتشفة متعدد الأشكال على نحو مثير للقلق. ففي البداية، يمكن للمهاجمين بيع بيانات القياس الحيوية المسروقة عبر الإنترنت المظلم، معرضين الأفراد المتضررين لأخطار متزايدة من هجمات التزييف العميق والهندسة الاجتماعية المتطورة. وعلاوة على ذلك، فإن القدرة على تبديل قاعدة البيانات تحول غرض أجهزة التحكم في الوصول الأصلي ليصبح سلاحاً مهدداً، مما قد يمنح الجهات المعادية وصولاً إلى مواضع ممنوعة. وأخيراً، تتيح بعض نقاط الضعف إمكانية وضع باب خفي للتسلل خلسة إلى شبكات المؤسسات الأخرى، مما يسهل تطوير الهجمات المعقدة، بما في ذلك التجسس السيبراني أو التخريب المفتعل. وتؤكد جميع هذه العوامل على الحاجة الملحة إلى تصحيح نقاط الضعف هذه، بالإضافة إلى التدقيق العميق لإعدادات أمان الجهاز للأشخاص الذين يستخدمون أجهزتهم في المناطق المؤسساتية.»
حتى وقت نشر معلومات الثغرة الأمنية هذه، لم يكن بحوزة كاسبرسكي بيانات متاحة عن حالة إصدار التصحيحات الأمنية من عدمه.
إلى جانب تثبيت الإصلاح، تنصح كاسبرسكي باتخاذ الخطوات التالية لإحباط الهجمات الإلكترونية ذات الصلة:
اعزل استخدام قارئ القياسات الحيوية ضمن حيز منفصل من الشبكة.
استخدم كلمات مرور قوية للمسؤولين، وقم بتغيير الكلمات الافتراضية.
دقق وحسّن إعدادات أمان الجهاز، معززاً الإعدادات الافتراضية الضعيفة. فكر في تفعيل أو إضافة ميزة اكتشاف درجة الحرارة لتجنب الدخول باستخدام صورة عشوائية.
قلل من استخدام وظيفة رمز الاستجابة السريعة (QR)، إن أمكن.
قم بتحديث البرمجيات الثابتة بانتظام.
المصدر: بوابة الوفد
كلمات دلالية: رمز الاستجابة السریعة قاعدة البیانات نقاط الضعف إلى قاعدة
إقرأ أيضاً:
محافظ حمص يبحث مع وفد أممي التعاون في مجالات الاستجابة الإنسانية والتعافي المبكر
حمص-سانا
بحث محافظ حمص الدكتور عبد الرحمن الأعمى مع وفد منظمة الأمم المتحدة، سبل تعزيز التعاون والتنسيق في مجالات الاستجابة الإنسانية والتعافي المبكر في المحافظة.
وأوضح المحافظ خلال لقائه الوفد في مبنى المحافظة اليوم أبرز التحديات التي تواجه حمص، ولا سيما في القطاعات الصحية والتعليمية والبنى التحتية، وتم التأكيد على أهمية دعم الخدمات الأساسية وإعطاء الأولوية لعودة النازحين وتوفير مقومات الاستقرار لهم.
وتمت مناقشة أوضاع القطاع الصحي في المحافظة، الذي يعاني من تدمير معظم منشآته وخاصة في ريف المحافظة، إضافة إلى الضغط الكبير على المدارس، والبنية التحتية الهشة في مجالات الصرف الصحي والمرافق العامة وغيرها.
من جهته، أبدى الوفد الأممي التزامه بدعم جهود محافظة حمص في مجالات التعافي، وتعزيز البنى التحتية، وتنمية القدرات المحلية، مع الإشارة إلى استعدادات لعقد اجتماع مع المانحين خلال الفترة المقبلة، والتوجه نحو افتتاح مكتب ميداني في المحافظة، وتنظيم ورشات عمل وزيارات تقييمية دورية.
محافظ حمص 2025-04-30bdrossmanسابق خدمات درعا تواصل أعمال فتح وتأهيل عدد من الطرق وإزالة الأنقاض منها انظر ايضاً محافظ حمص يبحث مع وفد من الجالية السورية في كندا الفرص الاستثمارية في المحافظةحمص-سانا بحث محافظ حمص الدكتور عبد الرحمن الأعمى مع وفد من الجالية السورية في كندا …
آخر الأخبار 2025-04-30محافظ حمص يبحث مع وفد أممي التعاون في مجالات الاستجابة الإنسانية والتعافي المبكر 2025-04-30خدمات درعا تواصل أعمال فتح وتأهيل عدد من الطرق وإزالة الأنقاض منها 2025-04-30مباحثات سورية سويدية لتعزيز التعاون في مجالات النقل 2025-04-30الاتحاد الإسباني يعلن عن عقوبات لبعض لاعبي ريال مدريد بعد أحداث نهائي كأس الملك 2025-04-30مصدر أمني بدمشق لـ سانا: قواتنا بدأت عملية تمشيط واسعة في منطقة أشرفية صحنايا، بهدف إلقاء القبض على العصابات الخارجة عن القانون التي اتخذت هذه المنطقة منطلقاً لعملياتها الإرهابية ضد الأهالي وقوات الأمن 2025-04-30رئيسة الوزراء الإيطالية تعرب عن دعم بلادها لتعزيز تعافي الاقتصاد السوري وإعادة إعمار البلاد 2025-04-30تركيا وإيطاليا تؤكدان وحدة أراضي سوريا وسيادتها 2025-04-30قطر تجدّد التزامها بمواصلة دعم الآلية الدّولية المحايدة والمستقلة في سوريا 2025-04-30تطوير شبكة الطرق والجسور في محافظة إدلب خلال اجتماع في وزارة النقل 2025-04-30الوزير الشيباني يلتقي النائب البطريركي في أبرشية شرقي الولايات المتحدة الأمريكية لكنيسة السريان الأورثوذكس
صور من سورية منوعات تطبيق موبايل يوصل صوت الصم للحصول على خدمات الإسعاف 2025-04-27 صفائح لعضلة القلب من الخلايا الجذعية… خطوة نحو العلاج الأول من نوعه في العالم 2025-04-17فرص عمل وزارة التجارة الداخلية تنظم مسابقة لاختيار مشرفي مخابز في اللاذقية 2025-02-12 جامعة حلب تعلن عن حاجتها لمحاضرين من حملة الإجازات الجامعية بأنواعها كافة 2025-01-23
مواقع صديقة | أسعار العملات | رسائل سانا | هيئة التحرير | اتصل بنا | للإعلان على موقعنا |