Rambler's Top100
 
Все новости Новости отрасли

В роботах-пылесосах обнаружены опасные уязвимости

20 июля 2018

Роботы-пылесосы могут использоваться для прослушки, видеонаблюдения и перехвата конфиденциальных данных.

Специалисты Positive Technologies Леонид Кролле и Георгий Зайцев выявили уязвимости в роботах-пылесосах Dongguan Diqee 360. Этим проблемам могут быть подвержены пылесосы, выпускаемые Dongguan Diqee как под своей маркой, так и изготовленные для других производителей.

«Владельцы IoT-устройств не всегда меняют логин и пароль, установленные производителем. Проблема касается даже роутеров, где в 15 случаях из 100 оставляют заводские пароли. Поэтому исследованный пылесос, как и любой IoT-девайс, может пополнить армию ботнетов для участия в DDoS-атаках, — отмечает Георгий Зайцев, специалист отдела анализа приложений Positive Technologies. — Но для владельца это меньшее из зол. Учитывая наличие Wi-Fi-приемника, веб-камеры с поддержкой режима ночного видения и системы управления местоположением со смартфона, злоумышленник получает возможность скрытно наблюдать за владельцем, передвигая пылесос в необходимую ему точку в квартире».

Первая угроза CVE-2018-10987 связана с возможностью удаленного выполнения кода на устройстве. Злоумышленник может обнаружить пылесос в сети, подобрав его MAC-адрес, и отправить специально сформированный запрос[1], в результате которого на пылесосе будет выполнена команда с правами суперпользователя. Ошибка присутствует в функции REQUEST_SET_WIFIPASSWD (команда UDP 153). Для атаки необходима аутентификация на устройстве; получению доступа способствуют предустановленные сочетания логина и пароля (admin: 888888) на многих экземплярах данной модели.

Вторая уязвимость CVE-2018-10988 имеет локальный характер: атакующий может использовать недостатки механизма обновления пылесоса с помощью microSD-карты. После установки карты в корпус пылесоса система обновления запускает файл прошивки из папки upgrade_360 без проверки цифровой подписи и с правами суперпользователя. Хакер может записать специально сформированный скрипт на microSD-карту в папку upgrade_360, вставить ее в пылесос, перезапустить его — и получить возможность удаленного выполнения кода на устройстве. На устройство, в частности, может быть установлен сниффер для перехвата конфиденциальных данных в сетевом трафике.

По оценкам экспертов Positive Technologies, этим ошибкам могут быть подвержены и другие IoT-устройства, функционирующие на базе видеомодулей, использованных в пылесосах Dongguan Diqee 360, — камеры наружного видеонаблюдения, видеорегистраторы, умные дверные звонки.

Это не первый случай, когда исследователи из Positive Technologies выявляют уязвимости в IoT-устройствах. В 2017 году эксперт компании обнаружил критически опасную уязвимость во встроенном программном обеспечении IP-камер компании Dahua, которые широко используются для видеонаблюдения в банковском секторе, энергетике, телекоммуникациях, на транспорте, в умных домах. Ошибка давала возможность перехватить и модифицировать видеотрафик с огромного количества IP-камер по всему миру.

 

Источник: Positive Technologies

Поделиться:
Заметили неточность или опечатку в тексте? Выделите её мышкой и нажмите: Ctrl + Enter. Спасибо!

Оставить свой комментарий:

Для комментирования необходимо авторизоваться!

Комментарии по материалу

Данный материал еще не комментировался.