平台
other
组件
facesentry-access-control-system
修复版本
6.4.9
5.7.3
5.7.1
CVE-2019-25242 是 FaceSentry Access Control System 中的一个跨站请求伪造 (XSRF) 漏洞。该漏洞允许攻击者在用户不知情的情况下执行管理操作，例如修改密码或控制门禁。受影响的版本包括 FaceSentry Access Control System 6.4.8 及更早版本。已发布补丁版本 6.4.9 以解决此问题。
攻击者可以利用此 XSRF 漏洞创建恶意网页，诱骗已认证的用户访问，从而执行未经授权的管理操作。这可能包括更改管理员密码，添加新的管理员用户，甚至直接打开门禁。攻击者无需知道管理员的凭据，只需诱骗用户访问精心设计的恶意页面即可。如果系统配置不当，攻击者可能能够完全控制 FaceSentry Access Control System，导致安全风险显著增加。这种攻击模式类似于其他 XSRF 漏洞，但针对的是门禁系统，其潜在影响更为严重，可能导致物理安全威胁。
该漏洞已公开披露，且存在潜在的利用风险。目前尚未观察到大规模的利用活动，但由于漏洞的易利用性，建议尽快采取缓解措施。该漏洞尚未被添加到 CISA KEV 目录中。公开的 PoC 尚未发现，但 XSRF 漏洞通常易于利用。
Organizations utilizing FaceSentry Access Control System in environments where administrators routinely access the system through web browsers are at risk. This includes deployments with shared hosting environments or legacy configurations where security best practices may not be fully implemented.
disclosure
漏洞利用状态
EPSS
0.03% (8% 百分位)
CISA SSVC
CVSS 向量
最有效的缓解措施是升级到 FaceSentry Access Control System 6.4.9 或更高版本。如果无法立即升级，可以考虑实施一些临时缓解措施。例如，可以启用双因素身份验证 (2FA) 以增加攻击难度。此外，审查并强化访问控制策略，确保只有授权用户才能执行敏感操作。在升级后，务必验证系统配置是否正确，并确认所有功能正常运行，以确保漏洞已成功修复。
将 FaceSentry 访问控制系统更新到 6.4.8、5.7.2 和 5.7.0 之后的版本。作为临时措施，禁用对 Web 界面的远程访问或实施 CSRF 保护。
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2019-25242 是 FaceSentry Access Control System 中的一个跨站请求伪造 (XSRF) 漏洞，允许攻击者在未经用户同意的情况下执行管理操作。
如果您正在使用 FaceSentry Access Control System 版本 ≤6.4.8，则您可能受到此漏洞的影响。
升级到 FaceSentry Access Control System 6.4.9 或更高版本以修复此漏洞。
虽然目前尚未观察到大规模的利用活动，但由于漏洞的易利用性，建议尽快采取缓解措施。
请访问 FaceSentry 官方网站或联系 FaceSentry 技术支持以获取更多信息。