PT-2022-23519 · Zkteco · Zkbio Cvsecurity V5000

Publicado 2022-10-06 · Atualizado 2022-10-11 · CVE-2022-36635

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

ZKteco ZKBioSecurity V5000 versão 4.1.3

Descrição

Foi detectada uma vulnerabilidade de injeção de SQL no componente /baseOpLog.do. Essa vulnerabilidade pode potencialmente levar à execução remota de código.

Recomendações

Para o ZKteco ZKBioSecurity V5000 versão 4.1.3, considere restringir o acesso ao componente /baseOpLog.do até que uma correção esteja disponível. Como solução temporária, evite usar parâmetros que possam acionar a vulnerabilidade de injeção de SQL no componente afetado. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2022-36635

Produtos afetados

Zkbio Cvsecurity V5000

Referências · 7

• 🔥 https://medium.com/stolabs/cve-2022-36635-a-sql-injection-in-zksecuritybio-to-rce-c5bde2962d47 · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2022-36635 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-36635 · Aviso do Fabricante
• http://zkbiosecurity.com · Nota
• https://t.me/cibsecurity/51049 · Publicação no Telegram
• http://zkteco.com · Nota
• https://t.me/secharvester/12976 · Publicação no Telegram