Уязвимость обхода авторизации в ZKTeco BioTime — CVE-2026-108797

В системе учёта рабочего времени и контроля доступа ZKTeco BioTime выявлена уязвимость, позволяющая обойти механизмы авторизации при обращении к REST API управления сотрудниками. Проблема затрагивает актуальные сборки продукта и уже получила идентификатор CVE-2026-108797.

Подробности

Уязвимость затрагивает ZKTeco BioTime версии 9.5.6 Build 20260130.3206. Проблема локализована в компоненте Employee REST API и связана с обработкой запросов к эндпоинту /personnel/api/employees/. Из-за некорректной проверки прав доступа злоумышленник может выполнить операции с данными сотрудников, не проходя процедуру авторизации. Согласно описанию, эксплуатация возможна удалённо и не требует предварительной аутентификации или взаимодействия с пользователем. Это означает, что если интерфейс BioTime доступен из сети (например, опубликован в интернете или доступен из смежного сегмента), атакующий может напрямую обращаться к API и получать или изменять сведения о сотрудниках — в зависимости от логики уязвимого кода. Уязвимости присвоена оценка CVSS 5.3 (MEDIUM). Такой уровень отражает умеренную критичность: сам по себе обход авторизации не приводит к выполнению произвольного кода, однако открывает доступ к персональным данным сотрудников и внутренним структурам системы, что может стать ступенью для дальнейших атак. Отдельно отмечается, что производитель был уведомлён об обнаружении проблемы заранее, но не отреагировал на обращение.

Что делать

На момент публикации официальное исправление от вендора отсутствует, поэтому основные меры носят компенсирующий характер:

• Ограничить сетевой доступ к интерфейсу BioTime и его REST API. Система не должна быть доступна из интернета; доступ из внутренней сети следует разрешить только доверенным хостам и администраторам.
• Разместить BioTime за обратным прокси или шлюзом с обязательной аутентификацией и фильтрацией запросов к эндпоинтам API.
• Включить журналирование и мониторинг обращений к /personnel/api/employees/, чтобы фиксировать подозрительную активность и несанкционированные запросы.
• Проверить сегментацию сети и убедиться, что компрометация BioTime не откроет доступ к другим внутренним системам.
• Следить за обновлениями вендора и установить патч сразу после его выпуска.

Итог: уязвимость CVE-2026-108797 не критична по шкале CVSS, но позволяет удалённо и без аутентификации работать с данными сотрудников через Employee REST API ZKTeco BioTime. До выхода официального исправления ключевая защита — изоляция системы от недоверенных сетей и строгий контроль доступа к API. Организациям, использующим BioTime, стоит рассматривать эту меру как приоритетную.

Источник: CVE Project (cvelistV5)