CVE-2023-38958
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W systemie ZKTeco BioAccess IVS w wersji 3.3.1 wykryto problem z kontrolą dostępu, który umożliwia nieuwierzytelnionym atakującym zdalne otwieranie i zamykanie drzwi zarządzanych przez platformę poprzez wysłanie spreparowanego żądania HTTP.
Ocena ryzyka
Organizacja narażona jest na nieautoryzowany dostęp fizyczny do chronionych pomieszczeń, co może prowadzić do kradzieży, szpiegostwa lub naruszenia bezpieczeństwa danych.
Rekomendacja
Należy niezwłocznie zaktualizować oprogramowanie ZKTeco BioAccess IVS do najnowszej wersji oraz wdrożyć uwierzytelnianie dla wszystkich żądań zarządzających drzwiami.
Inne podatności w ZKTeco BioAccess IVS
Zobacz wszystkie- CVE-2023-38954Krytyczne
W systemie ZKTeco BioAccess IVS w wersji 3.3.1 wykryto podatność na wstrzykiwanie SQL. Umożliwia ona atakującemu manipulację zapytaniami do bazy danych.
- CVE-2023-38956Wysokie
Podatność typu path traversal w ZKTeco BioAccess IVS v3.3.1 umożliwia nieuwierzytelnionym atakującym odczyt dowolnych plików poprzez dostarczenie spreparowanego ładunku.
- CVE-2023-38955Wysokie
Podatność w ZKTeco BioAccess IVS v3.3.1 umożliwia nieuwierzytelnionym atakującym uzyskanie wrażliwych informacji o wszystkich zarządzanych urządzeniach, w tym ich adresów IP i nazw.
Oryginalny opis (angielski, źródło NVD)
An access control issue in ZKTeco BioAccess IVS v3.3.1 allows unauthenticated attackers to arbitrarily close and open the doors managed by the platform remotely via sending a crafted web request.