Контакты
Подписка
МЕНЮ
Контакты
Подписка

Эксперты Positive Technologies обнаружили опасные уязвимости в роботах-пылесосах

Эксперты Positive Technologies обнаружили опасные уязвимости в роботах-пылесосах


20.07.2018

Эксперты Positive Technologies обнаружили опасные уязвимости в роботах-пылесосах

Специалисты Positive Technologies Леонид Кролле и Георгий Зайцев выявили уязвимости в роботах-пылесосах Dongguan Diqee 360 . Этим проблемам могут быть подвержены пылесосы, выпускаемые Dongguan Diqee как под своей маркой, так и изготовленные для других производителей.

 "Владельцы IoT-устройств не всегда меняют логин и пароль, установленные производителем. Проблема касается даже роутеров, где в 15 случаях из 100  оставляют заводские пароли. Поэтому исследованный пылесос, как и любой IoT-девайс, может пополнить армию ботнетов для участия в DDoS-атаках, — отмечает Георгий Зайцев, специалист отдела анализа приложений Positive Technologies. — Но для владельца это меньшее из зол. Учитывая наличие Wi-Fi-приемника, веб-камеры с поддержкой режима ночного видения и системы управления местоположением со смартфона, злоумышленник получает возможность скрытно наблюдать за владельцем, передвигая пылесос в необходимую ему точку в квартире".

 Первая угроза CVE-2018-10987 связана с возможностью удаленного выполнения кода на устройстве. Злоумышленник может обнаружить пылесос в сети, подобрав его MAC-адрес, и отправить специально сформированный запрос[1], в результате которого на пылесосе будет выполнена команда с правами суперпользователя. Ошибка присутствует в функции REQUEST_SET_WIFIPASSWD (команда UDP 153). Для атаки необходима аутентификация на устройстве; получению доступа способствуют предустановленные сочетания логина и пароля (admin: 888888) на многих экземплярах данной модели.

 Вторая уязвимость CVE-2018-1098 8 имеет локальный характер: атакующий может использовать недостатки механизма обновления пылесоса с помощью microSD-карты. После установки карты в корпус пылесоса система обновления запускает файл прошивки из папки upgrade_360 без проверки цифровой подписи и с правами суперпользователя. Хакер может записать специально сформированный скрипт на microSD-карту в папку upgrade_360, вставить ее в пылесос, перезапустить его — и получить возможность удаленного выполнения кода на устройстве. На устройство, в частности, может быть установлен сниффер для перехвата конфиденциальных данных в сетевом трафике.

 По оценкам экспертов Positive Technologies, этим ошибкам могут быть подвержены и другие IoT-устройства, функционирующие на базе видеомодулей, использованных в пылесосах Dongguan Diqee 360, — камеры наружного видеонаблюдения, видеорегистраторы, умные дверные звонки.

 Это не первый случай, когда исследователи из Positive Technologies выявляют уязвимости в IoT-устройствах. В 2017 году эксперт компании обнаружил критически опасную уязвимость во встроенном программном обеспечении IP-камер компании Dahua, которые широко используются для видеонаблюдения в банковском секторе, энергетике, телекоммуникациях, на транспорте, в умных домах. Ошибка давала возможность перехватить и модифицировать видеотрафик с огромного количества IP-камер по всему миру.

 

Securitylab