ЗАГОЛОВНИК

В программном обеспечении для учёта рабочего времени и контроля доступа ZKTeco BioTime выявлена уязвимость, получившая идентификатор CVE-2026-108798. Проблема затрагивает использование встроенного (жёстко заданного) криптографического ключа, что потенциально позволяет злоумышленнику компрометировать защищённые каналы передачи данных и обходить механизмы шифрования.

Подробности

Уязвимость обнаружена в ZKTeco BioTime версии 9.5.6 Build 20260130.3206. Согласно описанию, проблема связана с обработкой, детали которой не раскрываются, и приводит к использованию предопределённого криптографического ключа (CWE-321: Use of Hard-coded Cryptographic Key). Наличие такого ключа означает, что злоумышленник, получивший доступ к бинарным файлам или исходному коду продукта, может извлечь ключ и использовать его для расшифровки, подделки или перехвата защищённых данных.

Атака может быть проведена удалённо, что повышает уровень риска. Базовый показатель CVSS 3.x составляет 6.9, что соответствует среднему уровню критичности. Вектор атаки — сетевой, сложность — низкая, однако для успешной эксплуатации может потребоваться предварительная разведка или доступ к определённым ресурсам системы.

Важно отметить, что производитель был уведомлён об уязвимости на раннем этапе, но не ответил на обращение и не выпустил официальных комментариев или исправлений. На момент публикации записи CVE информация о патче отсутствует.

Что делать

Поскольку официальное обновление от вендора недоступно, рекомендуется принять следующие меры:

• Ограничить сетевой доступ к серверу ZKTeco BioTime — использовать межсетевые экраны и списки разрешённых IP-адресов, чтобы исключить подключения из недоверенных сегментов сети.
• Разместить систему во внутреннем сегменте сети без прямого выхода в интернет, если это допустимо бизнес-процессами.
• Включить усиленное журналирование и мониторинг подозрительной активности, связанной с обращением к криптографическим функциям и сетевым соединениям сервера BioTime.
• Рассмотреть возможность замены или изоляции продукта до выпуска официального исправления, если уровень риска для инфраструктуры признан неприемлемым.
• Следить за обновлениями на сайте производителя и в базах уязвимостей — при выпуске патча незамедлительно его установить.

Использование жёстко заданных ключей — классическая ошибка проектирования, которая сводит на нет гарантии confidentiality и integrity. В условиях, когда вендор не отвечает на сообщения об уязвимостях, ответственность за защиту инфраструктуры ложится на администраторов и службы ИБ. Рекомендуется провести аудит всех экземпляров ZKTeco BioTime в организации и оценить возможные сценарии компрометации.

Источник: CVE Project (cvelistV5)