CVE-2016-20031
Təsvir
ZKTeco ZKBioSecurity 3.0 versiyasının visLogin.jsp faylında lokal autentifikasiyadan yan keçmə zəifliyi mövcuddur və bu, hücumçulara localhost sorğularını saxtalaşdırmaqla etibarlı etimadnamələr olmadan sistemə daxil olmağa imkan verir. Hücumçular, IPv6 loopback ünvanı olan 0:0:0:0:0:0:0:1-i 127.0.0.1 kimi qəbul edən EnvironmentUtil.getClientIp() metodundan istifadə edərək, həssas məlumatlara giriş əldə etmək və icazəsiz hərəkətlər yerinə yetirmək üçün IP ünvanını istifadəçi adı, "123456" sabit şifrəsini isə parol kimi istifadə edərək autentifikasiya ola bilərlər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ZKTeco Inc. ZKTeco ZKBioSecurity | 3.0.1.0_R_230 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.