Comcast web sitesi hatası Xfinity müşteri verilerini sızdırıyor

Comcast'in web sitesinde Xfinity yönlendiricilerini etkinleştirmek için kullanılan bir hata, şirketin müşterileri hakkında hassas bilgilerin döndürülmesine neden olabilir.

İnternet sitesiMüşterilerin ev interneti ve kablolu yayın hizmetini ayarlamak için kullandıkları e-posta, yönlendiricinin bulunduğu ev adresinin yanı sıra Wi-Fi adı ve şifresini gösterecek şekilde kandırılabilir.

İki güvenlik araştırmacısı Karan Saini ve Ryan Stevenson hatayı keşfetti.

Daha önce bir keşif yapan Saini Uber iki faktörlü bypass hatası ve bir kusur Hindistan'ın ulusal biyometrik veritabanı, söylenmiş ZDNet hata hakkında.

Web formunda tam adres sorulmasına rağmen yalnızca müşteri hesap kimliği ve müşterinin ev veya apartman numarası gereklidir. Bu bilgiler atılan bir faturadan veya bir e-postadan alınabilir. Her durumda, kararlı bir saldırgan ev veya apartman numarasını kolayca tahmin edebilir.

ZDNet iki Xfinity müşterisinden bilgilerini kontrol etmek için izin aldı. Her iki müşterinin de onayladığı gibi tam adreslerini ve posta kodlarını almayı başardık.

Site, Xfinity yönlendirici kullanan müşterilerden birinin ağa bağlanmak için kullandığı Wi-Fi adını ve şifresini düz metin olarak döndürdü. Diğer müşteri kendi yönlendiricisini kullanıyordu ve site, Wi-Fi ağ adını veya şifresini döndürmedi.

Hata, Xfinity Wi-Fi zaten açık olsa bile verileri döndürüyor.

Wi-Fi şifresi değişse bile ayrıntıların tekrar çalıştırılması yeni Wi-Fi şifresini döndürecektir. Müşterilerin Xfinity donanımını kullanırken vazgeçmelerinin bir yolu yok gibi görünüyor.

Kullanıcıları geçici olarak kilitleyerek Wi-Fi ağ adlarını ve şifrelerini yeniden adlandırmak da mümkündür.

Saini, hesap numaralarını numaralandırmanın neredeyse imkansız olacağını söyledi.

Hassas verilerin yönlendiricinin ayarlarına erişmek için kullanılabileceğine inanılmasa da, bir saldırgan bu bilgiyi kapsama alanı içindeki Wi-Fi ağına erişmek için kullanabilir. Ağda bir saldırgan, ağdaki diğer kullanıcılardan gelen şifrelenmemiş trafiği okuyabilir.

Comcast, yayınlandıktan sonra seçeneği web sitesinden kaldırdı.

Bir Comcast sözcüsü, "Müşterilerimizin güvenliğinden daha önemli bir şey yok" dedi. "Bu sorunu öğrendikten birkaç saat sonra konuyu kapattık. Kapsamlı bir soruşturma yürütüyoruz ve bunun bir daha yaşanmamasını sağlamak için gerekli tüm adımları atacağız."