BDU:2024-05184

Опубликовано: 21 мая 2024

Источник: fstec

CVSS3: 10

CVSS2: 10

EPSS Низкий

Описание

Уязвимость микропрограммного обеспечения биометрических терминалов ZkTeco ProFace X, Smartec ST-FR043 и Smartec ST-FR041ME связана с переполнением буфера на стеке в результате отсутствия механизма защиты Canary и PIE. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

ZKTECO CO., LTD

Наименование ПО

Smartec ST-FR041ME

Smartec ST-FR043

ZkTeco ProFace X

Версия ПО

ZAM170-NF-1.8.25-7354-Ver1.0.0 (Smartec ST-FR041ME)

ZAM170-NF-1.8.25-7354-Ver1.0.0 (Smartec ST-FR043)

ZAM170-NF-1.8.25-7354-Ver1.0.0 (ZkTeco ProFace X)

Тип ПО

ПО программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 10)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- использование средств межсетевого экранирования;

- сегментирование сети для ограничения доступа из других подсетей;

- ограничение доступа из внешних сетей (Интернет);

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

- использование надёжных паролей администратора с заменой установленных по умолчанию;

- проверка и усиление настроек безопасности устройства (включение тепловых датчиков на биометрическом терминале), чтобы избежать авторизации по случайной фотографии;

- сведение к минимуму использование QR-кодов;

- регулярное обновление прошивки.

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-3943
CVE

EPSS

Процентиль: 73%

0.00769

Низкий

10 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2023-3943

CVSS3: 10

nvd

больше 1 года назад

Stack-based Buffer Overflow vulnerability in ZkTeco-based OEM devices allows, in some cases, the execution of arbitrary code. Due to the lack of protection mechanisms such as stack canaries and PIE, it is possible to successfully execute code even under restrictive conditions. This issue affects ZkTeco-based OEM devices (ZkTeco ProFace X, Smartec ST-FR043, Smartec ST-FR041ME and possibly others) with firmware ZAM170-NF-1.8.25-7354-Ver1.0.0 and possibly others.

GHSA-4h6j-2wpq-2xv2

CVSS3: 10

github

больше 1 года назад

EPSS

Процентиль: 73%

0.00769

Низкий

10 Critical

CVSS3

10 Critical

CVSS2