كشفت كاسبرسكي عيوباً متعددة في البوابة الهجينة البيومترية والمصنوعة من شركة ZKTeco العالمية. فمن خلال إضافة بيانات مستخدم عشوائية إلى قاعدة البيانات، أو استخدام رمز استجابة سريعة (QR) زائف، يمكن لطرف إجرامي أن يلتف بسهولة على عملية التحقق، ويحصل على وصول غير مصرح به. كما يمكن للمهاجمين سرقة بيانات القياسات الحيوية وتسريبها، والتلاعب بالأجهزة عن بُعد، ونشر الأبواب الخلفية. ويعرّض ذلك المرافق فائقة الحماية في جميع أنحاء العالم للخطر إذا ما استخدمت هذا الجهاز الضعيف.
تم اكتشاف العيوب ضمن سياق البحث الذي أجراه خبراء تقييم الأمن في كاسبرسكي حيال برمجيات ومعدات أجهزة ZKTeco التي يتم توزيعها لتباع تحت علامات تجارية أخرى (منتجات علامة بيضاء). وقد تمت مشاركة جميع الكشوفات بشكل استباقي مع الشركة المصنعة قبل الإفصاح عنها للعامة.
يتم استخدام أجهزة قراءة القياسات الحيوية المذكورة على صعيد واسع عبر قطاعات متنوعة بداية من المنشآت النووية أو الكيميائية، إلى المكاتب والمستشفيات. وتدعم هذه الأجهزة التعرف على الوجه، والمصادقة عبر رمز الاستجابة السريعة (QR)، إلى جانب القدرة على تخزين آلاف النماذج الوجهية. ومع ذلك، فهي تصبح معرضة للعديد من الهجمات نتيجة نقاط الضعف المكتشفة حديثاً. وقد قامت كاسبرسكي بتجميع العيوب استناداً إلى التصحيحات اللازمة، وتسجيلها ضمن قوائم CVE (نقاط الضعف والتعرض الشائعة) محددة.
التجاوز المادي عبر رمز الاستجابة السريعة (QR) الزائف
تسمح ثغرة CVE-2023-3938 لمجرمي الإنترنت بتنفيذ هجوم إلكتروني يُعرف باسم حقن SQL، والذي يتضمن دس تعليمات برمجية خبيثة في سلاسل مرسلة إلى قاعدة بيانات المحطة الطرفية. ويمكن للمهاجمين حقن بيانات محددة في رمز الاستجابة السريعة (QR) المستخدم للوصول إلى مواقع ممنوعة. وبالنتيجة، يمكنهم الحصول على وصول غير مصرح به إلى البوابة والوصول مادياً إلى المواقع الممنوعة.
عندما تقوم البوابة بمعالجة طلب يحتوي على هذا النوع من رموز الاستجابة السريعة (QR) الخبيثة، فإن قاعدة البيانات تميزه عن طريق الخطأ على أنه صادر عن آخر مستخدم مشروع سمح له بالدخول. فإذا كان رمز الاستجابة السريعة (QR) الزائف يحتوي على كمية مبالغ فيها من البيانات الخبيثة، فبدلاً من منح الوصول، تتم إعادة تشغيل الجهاز.
يقول جورجي كيجورادزي، مختص أمن تطبيقات أول في كاسبرسكي: «بالإضافة إلى استبدال رمز الاستجابة السريعة (QR)، هناك مسار هجوم مادي آخر مثير للاهتمام. فإذا تمكن شخص ذو نية خبيثة من الوصول إلى قاعدة بيانات الجهاز، فبمقدوره استغلال نقاط ضعف أخرى لتنزيل صورة مستخدم مشروعة، وطباعتها، واستخدامها لخداع كاميرا الجهاز للوصول إلى منطقة محمية. وتعاني هذه الطريقة من بعض المحدوديات بطبيعة الحال. حيث تتطلب صورة مطبوعة، ولا بد من إيقاف تشغيل اكتشاف الحرارة. لكن ورغم ذلك، فهي لا تزال تشكل تهديداً محتملاً كبيراً.»
سرقة بيانات القياسات الحيوية، ونشر الأبواب الخلفية، ومخاطر أخرى
تعد مجموعة ثغرات CVE-2023-3940 عيوباً في أحد مكونات البرنامج، والتي تسمح بقراءة الملفات بشكل اعتباطي. حيث يتيح استغلال هذه الثغرات الأمنية للمهاجم المحتمل إمكانية الوصول إلى أي ملف على النظام، ويمكّنه من استخراجه. ويتضمن ذلك بيانات القياسات الحيوية الحساسة للمستخدم، وكلمات المرور المشفرة بشكل يزيد انتهاك بيانات اعتماد الشركة. وعلى نحو مماثل، توفر ثغرات CVE-2023-3942 طريقة أخرى لاسترداد معلومات المستخدم والنظام الحساسة من قواعد بيانات أجهزة القياس الحيوي، وذلك من خلال هجمات حقن SQL.
يمكن لمصادر التهديد الوصول إلى قاعدة بيانات قارئ بيانات حيوية، بالإضافة لقدرتها على سرقتها أو العبث بها عن بُعد عبر استغلال ثغرات CVE-2023-3941. حيث تنشأ مجموعة الثغرات الأمنية هذه من التحقق غير الصحيح من مدخلات المستخدم عبر عدة مكونات للنظام. ويتيح استغلالها للمهاجمين رفع بياناتهم الخاصة، مثل الصور، مما يعني قدرتهم على إضافة أفراد غير مصرح لهم إلى قاعدة البيانات. وهذا ما قد يمكّنهم من تجاوز البوابات الدوارة أو المداخل خلسة. كما أن هناك ميزة هامة أخرى لهذه الثغرة الأمنية، وهي تمكين الجناة من استبدال الملفات التنفيذية، مما قد يؤدي إلى إنشاء باب خلفي.
يتيح الاستغلال الناجح لمجموعتين أخرتين من العيوب الجديدة – CVE-2023-3939 و CVE-2023-3943 – تنفيذ أوامر أو تعليمات برمجية عشوائية على الجهاز، مما يمنح المهاجم السيطرة الكاملة مع أعلى مستوى من الامتيازات. ويسمح ذلك لمصدر التهديد بالعبث بعمل الجهاز، والاستفادة منه لشن هجمات على عقد الشبكة الأخرى، وتوسيع نطاق الخرق عبر البنية التحتية الأوسع للشركة.
أكمل جورجي كيجورادزي شرحه قائلاً: «إن تأثير نقاط الضعف المكتشفة متعدد الأشكال على نحو مثير للقلق. ففي البداية، يمكن للمهاجمين بيع بيانات القياس الحيوية المسروقة عبر الإنترنت المظلم، معرضين الأفراد المتضررين لأخطار متزايدة من هجمات التزييف العميق والهندسة الاجتماعية المتطورة. وعلاوة على ذلك، فإن القدرة على تبديل قاعدة البيانات تحول غرض أجهزة التحكم في الوصول الأصلي ليصبح سلاحاً مهدداً، مما قد يمنح الجهات المعادية وصولاً إلى مواضع ممنوعة. وأخيراً، تتيح بعض نقاط الضعف إمكانية وضع باب خفي للتسلل خلسة إلى شبكات المؤسسات الأخرى، مما يسهل تطوير الهجمات المعقدة، بما في ذلك التجسس السيبراني أو التخريب المفتعل. وتؤكد جميع هذه العوامل على الحاجة الملحة إلى تصحيح نقاط الضعف هذه، بالإضافة إلى التدقيق العميق لإعدادات أمان الجهاز للأشخاص الذين يستخدمون أجهزتهم في المناطق المؤسساتية.»
حتى وقت نشر معلومات الثغرة الأمنية هذه، لم يكن بحوزة كاسبرسكي بيانات متاحة عن حالة إصدار التصحيحات الأمنية من عدمه.
إلى جانب تثبيت الإصلاح، تنصح كاسبرسكي باتخاذ الخطوات التالية لإحباط الهجمات الإلكترونية ذات الصلة:
- اعزل استخدام قارئ القياسات الحيوية ضمن حيز منفصل من الشبكة.
- استخدم كلمات مرور قوية للمسؤولين، وقم بتغيير الكلمات الافتراضية.
- دقق وحسّن إعدادات أمان الجهاز، معززاً الإعدادات الافتراضية الضعيفة. فكر في تفعيل أو إضافة ميزة اكتشاف درجة الحرارة لتجنب الدخول باستخدام صورة عشوائية.
- قلل من استخدام وظيفة رمز الاستجابة السريعة (QR)، إن أمكن.
- قم بتحديث البرمجيات الثابتة بانتظام.
