Уязвимость обхода авторизации в ZKTeco BioTime 9.5.6 (CVE-2026-108796)
В системе учёта рабочего времени и контроля доступа ZKTeco BioTime выявлена уязвимость, позволяющая обойти проверку авторизации при обращении к эндпоинту с биометрическими данными. Проблема затрагивает обработку параметра emp_code в запросах к файлу /iclock/finger_data/.
Подробности
Уязвимости подвержена версия ZKTeco BioTime 9.5.6 Build 20260130.3206. Согласно описанию, недостаток связан с компонентом Biometric Data Endpoint: манипулируя аргументом emp_code, злоумышленник может добиться обхода механизма авторизации. Точная часть кода, затронутая проблемой, не раскрывается.
Атака может быть выполнена удалённо, без необходимости физического доступа к инфраструктуре. Уязвимости присвоен идентификатор CVE-2026-108796, базовая оценка по CVSS 3.x составляет 5.3, что соответствует среднему уровню критичности. Подобный класс проблем (CWE-639, обход авторизации через управляемый пользователем ключ) позволяет обращаться к данным или функциям, доступ к которым для атакующего не предполагался.
Важно отметить, что производитель был заблаговременно уведомлён об обнаружении уязвимости, однако не предоставил ответа и не выпустил официальных комментариев или исправлений.
Что делать
На момент публикации сведения об официальном патче отсутствуют. Рекомендуется:
- ограничить сетевой доступ к эндпоинту
/iclock/finger_data/и к интерфейсу BioTime в целом, не размещая систему в открытом доступе в интернете; - применить средства сетевого экранирования и сегментацию сети, разрешив обращения к серверу только с доверенных IP-адресов устройств и администраторов;
- внедрить проверку и валидацию параметра
emp_codeна стороне промежуточных прокси или WAF, если это применимо в вашей инфраструктуре; - усилить мониторинг обращений к эндпоинтам биометрических данных и журналирование запросов;
- следить за обновлениями от вендора ZKTeco и установить исправление сразу после его выпуска.
Итог: уязвимость среднего уровня в ZKTeco BioTime позволяет удалённо обходить авторизацию при доступе к биометрическим данным. Поскольку вендор не отреагировал на уведомление, основная нагрузка по защите ложится на администраторов: изоляция системы, контроль доступа и постоянный мониторинг остаются ключевыми мерами до появления официального патча.
Источник: CVE Project (cvelistV5)