CVE-2023-38950とは？ZKTeco BioTimeの脆弱性をわかりやすく解説

ひとことでZKTeco BioTime で、ログインなしに好きなファイルを読まれる弱点です。
深刻度7.5 重要CVSS v3.1
まずやることBioTime のバージョンを調べる

基本情報（データから表示）

CVE番号	CVE-2023-38950
製品	ZKTeco BioTime
深刻度（CVSS）	7.5 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
KEVへの追加日	2025-05-19
米国政府機関の対応期限	2025-06-09
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-22（パストラバーサル）

何が起きた

勤怠管理システムの ZKTeco BioTime の iclock API に、パストラバーサルの弱点が見つかりました。細工したデータを送ると、本来は見られないはずのサーバー上の任意のファイルを読まれるおそれがあります。ネットワーク経由で、権限を持たない（ログインしていない）攻撃者が悪用できるとされています。実際の悪用も確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

ZKTeco BioTime を使っている組織が対象です。ZKTeco の案内では、BioTime V8.5.5 とそれ以前の版が影響を受けます。

何をすればいい

ZKTeco の案内では、修正版は ZKBioTime 9.0.1（20240617.19506）で、中東向けは ZKBioTime 8.5.5.2944 です（NVD の説明では 9.0.120240617.19506）。この版以降に更新されているか確認してください。ZKTeco は最新の版への更新を強く勧めており、修正のパッケージは ZKTeco のサポート窓口や各地域の拠点から入手するよう案内しています。

やることチェックリスト

BioTime のバージョンを調べる
9.0.1（20240617.19506）以降に更新する
中東向けは 8.5.5.2944 以降に更新する

用語メモ

パストラバーサル用語集で見る: ファイルの場所の指定を細工して、本来は入れないフォルダのファイルを読み出す攻撃です。
API 用語集で見る: プログラムどうしが情報をやりとりするための窓口です。外からの命令を受け付ける入り口にもなります。

次に読む

基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

ZKTeco BioTime Path Traversal Vulnerability

概要

ZKTeco BioTime contains a path traversal vulnerability in the iclock API that allows an unauthenticated attacker to read arbitrary files via supplying a crafted payload.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る

ZKTeco BioTime のパストラバーサルの脆弱性（CVE-2023-38950）