الرئيس التنفيذي
أشرف الحادي

رئيس التحرير
فاطمة مهران

كاسبرسكي تكشف عن 24 ثغرة أمنية في أنظمة الوصول البيومترية

كشفت كاسبرسكي عيوباً متعددة في البوابة الهجينة البيومترية والمصنوعة من شركة ZKTeco العالمية. فمن خلال إضافة بيانات مستخدم عشوائية إلى قاعدة البيانات، أو استخدام رمز استجابة سريعة (QR) زائف، يمكن لطرف إجرامي أن يلتف بسهولة على عملية التحقق، ويحصل على وصول غير مصرح به. كما يمكن للمهاجمين سرقة بيانات القياسات الحيوية وتسريبها، والتلاعب بالأجهزة عن بُعد، ونشر الأبواب الخلفية. ويعرّض ذلك المرافق فائقة الحماية في جميع أنحاء العالم للخطر إذا ما استخدمت هذا الجهاز الضعيف.
تم اكتشاف العيوب ضمن سياق البحث الذي أجراه خبراء تقييم الأمن في كاسبرسكي حيال برمجيات ومعدات أجهزة ZKTeco التي يتم توزيعها لتباع تحت علامات تجارية أخرى (منتجات علامة بيضاء). وقد تمت مشاركة جميع الكشوفات بشكل استباقي مع الشركة المصنعة قبل الإفصاح عنها للعامة.
يتم استخدام أجهزة قراءة القياسات الحيوية المذكورة على صعيد واسع عبر قطاعات متنوعة بداية من المنشآت النووية أو الكيميائية، إلى المكاتب والمستشفيات. وتدعم هذه الأجهزة التعرف على الوجه، والمصادقة عبر رمز الاستجابة السريعة (QR)، إلى جانب القدرة على تخزين آلاف النماذج الوجهية. ومع ذلك، فهي تصبح معرضة للعديد من الهجمات نتيجة نقاط الضعف المكتشفة حديثاً. وقد قامت كاسبرسكي بتجميع العيوب استناداً إلى التصحيحات اللازمة، وتسجيلها ضمن قوائم CVE (نقاط الضعف والتعرض الشائعة) محددة.
التجاوز المادي عبر رمز الاستجابة السريعة (QR) الزائف
تسمح ثغرة CVE-2023-3938 لمجرمي الإنترنت بتنفيذ هجوم إلكتروني يُعرف باسم حقن SQL، والذي يتضمن دس تعليمات برمجية خبيثة في سلاسل مرسلة إلى قاعدة بيانات المحطة الطرفية. ويمكن للمهاجمين حقن بيانات محددة في رمز الاستجابة السريعة (QR) المستخدم للوصول إلى مواقع ممنوعة. وبالنتيجة، يمكنهم الحصول على وصول غير مصرح به إلى البوابة والوصول مادياً إلى المواقع الممنوعة.
عندما تقوم البوابة بمعالجة طلب يحتوي على هذا النوع من رموز الاستجابة السريعة (QR) الخبيثة، فإن قاعدة البيانات تميزه عن طريق الخطأ على أنه صادر عن آخر مستخدم مشروع سمح له بالدخول. فإذا كان رمز الاستجابة السريعة (QR) الزائف يحتوي على كمية مبالغ فيها من البيانات الخبيثة، فبدلاً من منح الوصول، تتم إعادة تشغيل الجهاز.
يقول جورجي كيجورادزي، مختص أمن تطبيقات أول في كاسبرسكي: «بالإضافة إلى استبدال رمز الاستجابة السريعة (QR)، هناك مسار هجوم مادي آخر مثير للاهتمام. فإذا تمكن شخص ذو نية خبيثة من الوصول إلى قاعدة بيانات الجهاز، فبمقدوره استغلال نقاط ضعف أخرى لتنزيل صورة مستخدم مشروعة، وطباعتها، واستخدامها لخداع كاميرا الجهاز للوصول إلى منطقة محمية. وتعاني هذه الطريقة من بعض المحدوديات بطبيعة الحال. حيث تتطلب صورة مطبوعة، ولا بد من إيقاف تشغيل اكتشاف الحرارة. لكن ورغم ذلك، فهي لا تزال تشكل تهديداً محتملاً كبيراً.»
سرقة بيانات القياسات الحيوية، ونشر الأبواب الخلفية، ومخاطر أخرى
تعد مجموعة ثغرات CVE-2023-3940 عيوباً في أحد مكونات البرنامج، والتي تسمح بقراءة الملفات بشكل اعتباطي. حيث يتيح استغلال هذه الثغرات الأمنية للمهاجم المحتمل إمكانية الوصول إلى أي ملف على النظام، ويمكّنه من استخراجه. ويتضمن ذلك بيانات القياسات الحيوية الحساسة للمستخدم، وكلمات المرور المشفرة بشكل يزيد انتهاك بيانات اعتماد الشركة. وعلى نحو مماثل، توفر ثغرات CVE-2023-3942 طريقة أخرى لاسترداد معلومات المستخدم والنظام الحساسة من قواعد بيانات أجهزة القياس الحيوي، وذلك من خلال هجمات حقن SQL.
يمكن لمصادر التهديد الوصول إلى قاعدة بيانات قارئ بيانات حيوية، بالإضافة لقدرتها على سرقتها أو العبث بها عن بُعد عبر استغلال ثغرات CVE-2023-3941. حيث تنشأ مجموعة الثغرات الأمنية هذه من التحقق غير الصحيح من مدخلات المستخدم عبر عدة مكونات للنظام. ويتيح استغلالها للمهاجمين رفع بياناتهم الخاصة، مثل الصور، مما يعني قدرتهم على إضافة أفراد غير مصرح لهم إلى قاعدة البيانات. وهذا ما قد يمكّنهم من تجاوز البوابات الدوارة أو المداخل خلسة. كما أن هناك ميزة هامة أخرى لهذه الثغرة الأمنية، وهي تمكين الجناة من استبدال الملفات التنفيذية، مما قد يؤدي إلى إنشاء باب خلفي.
يتيح الاستغلال الناجح لمجموعتين أخرتين من العيوب الجديدة – CVE-2023-3939 و CVE-2023-3943 – تنفيذ أوامر أو تعليمات برمجية عشوائية على الجهاز، مما يمنح المهاجم السيطرة الكاملة مع أعلى مستوى من الامتيازات. ويسمح ذلك لمصدر التهديد بالعبث بعمل الجهاز، والاستفادة منه لشن هجمات على عقد الشبكة الأخرى، وتوسيع نطاق الخرق عبر البنية التحتية الأوسع للشركة.
أكمل جورجي كيجورادزي شرحه قائلاً: «إن تأثير نقاط الضعف المكتشفة متعدد الأشكال على نحو مثير للقلق. ففي البداية، يمكن للمهاجمين بيع بيانات القياس الحيوية المسروقة عبر الإنترنت المظلم، معرضين الأفراد المتضررين لأخطار متزايدة من هجمات التزييف العميق والهندسة الاجتماعية المتطورة. وعلاوة على ذلك، فإن القدرة على تبديل قاعدة البيانات تحول غرض أجهزة التحكم في الوصول الأصلي ليصبح سلاحاً مهدداً، مما قد يمنح الجهات المعادية وصولاً إلى مواضع ممنوعة. وأخيراً، تتيح بعض نقاط الضعف إمكانية وضع باب خفي للتسلل خلسة إلى شبكات المؤسسات الأخرى، مما يسهل تطوير الهجمات المعقدة، بما في ذلك التجسس السيبراني أو التخريب المفتعل. وتؤكد جميع هذه العوامل على الحاجة الملحة إلى تصحيح نقاط الضعف هذه، بالإضافة إلى التدقيق العميق لإعدادات أمان الجهاز للأشخاص الذين يستخدمون أجهزتهم في المناطق المؤسساتية.»
حتى وقت نشر معلومات الثغرة الأمنية هذه، لم يكن بحوزة كاسبرسكي بيانات متاحة عن حالة إصدار التصحيحات الأمنية من عدمه.
إلى جانب تثبيت الإصلاح، تنصح كاسبرسكي باتخاذ الخطوات التالية لإحباط الهجمات الإلكترونية ذات الصلة:
• اعزل استخدام قارئ القياسات الحيوية ضمن حيز منفصل من الشبكة.
• استخدم كلمات مرور قوية للمسؤولين، وقم بتغيير الكلمات الافتراضية.
• دقق وحسّن إعدادات أمان الجهاز، معززاً الإعدادات الافتراضية الضعيفة. فكر في تفعيل أو إضافة ميزة اكتشاف درجة الحرارة لتجنب الدخول باستخدام صورة عشوائية.
• قلل من استخدام وظيفة رمز الاستجابة السريعة (QR)، إن أمكن.
• قم بتحديث البرمجيات الثابتة بانتظام.

أخبار ذات صلة

المصرية للاتصالات WE تهدي الأمل لمرضى الحروق بأحدث جهاز ليزر في مستشفى أهل مصر

ساعة4 HUAWEI WATCH FIT الجديدة تجمع بين الأناقة والأداء الاحترافي الان متاحة في مصر

ICT Misr تفوز بتكريم منتدى OpenText Middle East 2025 في دبي

سامبا نوفا تُطلق منصّتها للذكاء الاصطناعي في سوق أمازون ويب سيرفيسز

كاسيو تكشف عن ساعةG-SHOCK GA-2100BM : قطعة أساسية صيفية تجمع بين المتانة والأسلوب العصري

موتورولا تطلق 3 هواتف جديدة من سلسلة G بأداء متطور وبطارية ضخمة

DeepSeek تطلق تحديثا جديدا لنموذج الذكاء الاصطناعي R1-0528

ضامن تطلق خدمة تحصيل أقساط جمعية رجال أعمال أسوان ضمن توسعاتها في تقديم حلول الدفع الإلكتروني

آخر الأخبار
بيراميدز يتوج بلقب دوري أبطال أفريقيا للمرة الأولى في تاريخه بعد الفوز على صن داونز وزير العمل يشارك في جلسة خاصة بشأن "اقتصاد المنصات" عاجل.. زلزال يضرب شمال الغردقة سكاي أبوظبي تعلن عن شراكة لتطوير مشروع سكني وسياحي بمساحة 430 فدان في رأس الحكمة بيراميدز يحرز الهدف الأول في صن داونز بنهائي دوري أبطال أفريقيا "ياسين منصور": الدولة المصرية أصبحت اليوم واحدة من أكثر البيئات الاستثمارية الواعدة في المنطقة افتتاح أول متجر لعلامة DTALE في المملكة العربية السعودية المصرية للاتصالات WE تهدي الأمل لمرضى الحروق بأحدث جهاز ليزر في مستشفى أهل مصر وزير الخارجية والهجرة يلتقي المبعوث الأممي لليمن في عمان وزير الإسكان يستقبل نائب وزير الاسكان الصيني لبحث مجالات التعاون المشترك ماييلى ورمضان صبحى فى هجوم بيراميدز أمام صن داونز بنهائى أفريقيا ياسين منصور: الدولة المصرية أصبحت اليوم واحدة من أكثر البيئات الاستثمارية الواعدة في المنطقة رئيس الوزراء: مشروع "جريان" يوفر 250 ألف فرصة عمل في هذه المدينة التي تحقق رؤية تنموية مُتكاملة الزراعة ترفع درجة الاستعداد القصوى بجميع المجازر الحكومية لفحص الأضاحي قبل أعمال الذبيح وزير الكهرباء يتفقد محطة "Grand Maison" كأكبر محطات الطاقة الكهرومائية فى أوروبا تعمل بنظام الضخ وال... النيابة العامة وبنك مصر يوقعان بروتوكول تعاون لتقسيط المخالفات المرورية دون فوائد تيسيرا على المواطن... "الزراعة" ترفع درجة الاستعداد القصوى بجميع المجازر الحكومية لفحص الأضاحي قبل أعمال الذبيح السيدة انتصار السيسى تحيى الهلال الأحمر المصرى على استجابته الإنسانية السريعة خلال عاصفة الإسكندرية عنان القاضي: رائدة التسويق والعلاقات العامة في مصر رئيس الوزراء يشهد توقيع عقود مشروع "چيريان" بالشراكة بين الدولة والقطاع الخاص