Frissítve: Az érintett szállító nem válaszolt, vagy nem javította ki a biztonsági problémákat.
Egy másik példa arra, hogy hogyan lehet összekapcsolni befolyásolja otthonunk biztonságátA kutatók két távoli kódvégrehajtási (RCE) sebezhetőséget fedtek fel egy intelligens légsütőben.
Biztonság
- A rendkívül biztonságos távoli dolgozók 8 szokása
- A kémprogramok megtalálása és eltávolítása a telefonról
- A legjobb VPN-szolgáltatások: Hogyan hasonlítható össze az első 5?
- Hogyan lehet kideríteni, hogy érintett-e adatvédelmi incidens – és mi a következő lépés
Az RCE-ket gyakran a sebezhetőség legsúlyosabb típusának tekintik, mivel lehetővé teszik a támadók számára, hogy távolról kód telepítése, ami potenciálisan a rendszer feltöréséhez, távoli manipulációhoz és további rosszindulatú programok futtatásához vezethet hasznos terhek.
Míg a fogyasztói termékek megcélzása és az RCE végrehajtása nem biztos, hogy azonnali hatást fejt ki ugyanezt csinálva egy vállalati hálózaton továbbra is érdemes kiemelni, hogy attól, hogy egy otthonunkban lévő termék „okosnak” minősül, még nem jelenti azt, hogy biztonságos.
Hétfőn a Cisco Talos kutatói felfedték a felfedezést két RCE a Cosori Smart Air Fryerben, egy Wi-Fi-csatlakozású konyhai termékben, amely az internetet kihasználva távvezérlést biztosít a felhasználók számára a főzési hőmérséklet, idő és beállítások felett.
Azonban ugyanaz a csatlakozás – biztonsági hibákkal párosulva – lehetővé teszi mások számára is, hogy átvegyék az eszköz irányítását.
A csapat tesztelte a Cosori Smart 5.8-Quart Air Fryer CS158-AF (v.1.1.0) készüléket, és felfedezte CVE-2020-28592 és CVE-2020-28593. Az első sebezhetőséget egy nem hitelesített hátsó ajtó, a másodikat pedig egy halom alapú túlcsordulási probléma okozza – mindkettő amelyekből kialakított forgalmi csomagokon keresztül is ki lehet használni, bár a könnyebbség érdekében helyi hozzáférésre lehet szükség kizsákmányolás.
A sérülékenységeket most minden javítás nélkül nyilvánosságra hozták. A Talos kutatói szerint Cosori nem "reagált megfelelően" a tipikus 90 napos sebezhetőségen belül közzétételi időszak, és így -- talán -- most a gyártó fontolóra veszi egy javítás kiadását, amikor a problémák nyilvánosak.
Bár az ötlet, hogy a főzőedényeidet a fenyegető szereplők váltságdíj fejében tartsák, távoli lehet, A sebezhetőségek egy sokkal szélesebb körű problémát jelentenek: a tárgyak internete (IoT) általános sebezhető állapotát. készülékek otthonunkban.
A múlt héten a kutatók nyilvánosságra hozták kilenc sebezhetőség négy TCP/IP-veremben, amelyeket gyakran használnak az intelligens eszközök kommunikációs célokra, és amelyek felfegyverkezve távolról eltéríthetők. A biztonsági hiányosságok, amelyekről úgy gondolják, hogy több mint 100 millió fogyasztói, vállalati és ipari eszközt érintenek, kihasználhatók sérülékeny termékek botnetekhez való hozzáadására vagy kapcsolt hálózatokba való belépésre.
Frissítés 23/4 20.56 BST: Cosori azt mondta a ZDNetnek, hogy "a sebezhetőség hatóköre a helyi hálózatra korlátozódik, és nem lehetséges távolról, WAN-on keresztül vezérelhető", és áprilisban várható egy firmware-frissítés a hiba javítására 25.
Korábbi és kapcsolódó tudósítások
-
Ezek az új sérülékenységek IoT-eszközök millióit teszik veszélybe, ezért javítsa ki most
-
Mi az IoT? Minden, amit a dolgok internetéről tudni kell
-
A nem biztonságos dolgok internetes eszközei mindenkit támadások veszélyének tesznek ki
Van tipped? Vegye fel a kapcsolatot biztonságosan a WhatsApp-on keresztül | Jelzés a +447713 025 499 számon vagy a Keybase-en: charlie0