ioActive hlási viac zraniteľností v Belkin’s Wemo Rôzne zariadenia na automatizáciu domu. Doteraz Belkin v tejto veci mlčal, ale spoločnosť CERT teraz zverejnila svoj vlastný poradenský zoznam, v ktorom sú uvedené nedostatky zabezpečenia.
Je to nadmerná reakcia na jednu z miliónov možností, že niekto bude môcť hacknúť vaše svetlá? Alebo je to len tenký koniec klinu, ako aj čas na automatizáciu domu, ako aj web podnikania, ktoré si môžete sadnúť, ako aj byť originálny v oblasti bezpečnosti? Pozrite sa na video z minulých nocí Twit Security Teraz podcast pre obe strany nezhody a potom nám pochopíme, čo veríte v komentáre nižšie …
Seattle, USA – 18. februára 2014 – IoActive, Inc., popredný celosvetový dodávateľ služieb odbornej informačnej bezpečnosti, dnes odhalil, že odhalil niekoľko zraniteľností v Gadgets Belkin Wemo House Automation Automation, ktoré by mohli ovplyvniť viac ako pol milióna používateľov. Belkin’s WEMO využíva Wi-Fi a mobilný web na správu elektroniky House kdekoľvek na svete priamo zo smartfónu používateľov.
Mike Davis, vedec primárnej výskumnej štúdie spoločnosti IoActive, odhalil niekoľko zraniteľností v produkte WEMO, ktorý poskytuje útočníkom schopnosť:
Diaľkovo spravujte automatizáciu Wemo House Connected Gadgets cez internet
Vykonajte škodlivé aktualizácie firmvéru
Na diaľku premietnuť gadgety (v niektorých prípadoch)
Prístup do siete interiérového domu
Davis povedal: „Keď spájame naše domy s internetom, pre predajcov gadgetov Internet-of things je postupne dôležité, aby sa zabezpečilo, že primerané metodiky bezpečnosti sa prijímajú na začiatku cyklov pokroku v produkte. To zmierňuje expozíciu ich zákazníkov a znižuje riziko. Ďalším problémom je, že gadgety WEMO využívajú snímače pohybu, ktoré môže útočník využiť na diaľku premietnuť obsadenie v domácnosti. “
Dopad
Zraniteľné miesta objavené v Gadgets Belkin Wemo subjekt subjektu viacerým potenciálne drahým hrozbám, od domácich požiarov s možnými tragickými následkami až po jednoduchú strach z elektriny. Dôvodom je to, že po tom, čo útočníci ohrozia zariadenia WEMO, môžu byť použité na diaľkové zapnutie gadgetov, ako aj v akomkoľvek čase. Ak sa používa počet používaných gadgetov WEMO, je veľmi pravdepodobné, že mnoho spojených zariadení, ako aj gadgety budú bez dozoru, a preto zvýšia hrozbu, ktorú predstavujú tieto zraniteľné miesta.
Okrem toho, keď útočník nadviazal spojenie s gadgetom WEMO v sieti obetí; Gadget sa dá využiť ako oporu na napadnutie iných gadgetov, ako sú notebooky, mobilné telefóny, ako aj pripojené sieťové úložisko.
Zraniteľné miesta
Obrázky firmvéru Belkin Wemo, ktoré sa používajú na aktualizáciu gadgetov, sú podpísané šifrovaním verejného kľúča na ochranu pred neoprávnenými úpravami. Podpisový kľúč, ako aj heslo sa však unikajú na firmvéri, ktorý je už nainštalovaný na zariadeniach. To umožňuje útočníkom využívať presne ten istý kľúč podpisu, ako aj heslo na indikáciu vlastného škodlivého firmvéru, ako aj obísť bezpečnostné kontroly počas procesu aktualizácie firmvéru.
Okrem toho gadgety Belkin Wemo neoveria certifikáty Secure Socket Layer (SSL), ktoré im bránia v overovaní komunikácie s cloudovou službou Belkin vrátane informačného kanála Firmware Update RSS. To umožňuje útočníkom využívať akýkoľvek typ certifikátu SSL na vydávanie sa cloudovým službám spoločnosti Belkin, ako aj na tlačenie aktualizácií škodlivého firmvéru, ako aj zachytenie poverení v rovnakom čase. Kvôli cloudovej integrácii je aktualizácia firmvéru tlačená do domu obete bez ohľadu na to, ktorý spárovaný gadget dostane upozornenie na aktualizáciu alebo jeho fyzické umiestnenie.
Webové komunikačné zariadenia využívané na komunikáciu Gadgets Belkin Wemo sú založené na zneužívanom protokole, ktorý bol navrhnutý na využitie služieb Voice Over Web Protocol (VOIP) na obídenie obmedzení firewall alebo NAT. Robí to v metóde, ktorá ohrozuje všetku bezpečnosť WEMO Gadgets tým, že vyrába online WEMO DarkNet, s ktorým môžu byť všetky gadgety WEMO priamo spojené; A s určitým obmedzeným odhadom „tajného čísla“, spravované aj bez útoku na aktualizáciu firmvéru.
Zistilo sa, že rozhranie aplikácie Belkin Wemo Server Application Programming (API) je zraniteľné voči zraniteľnosti inklúzie XML, čo by útočníkom umožnilo ohroziť všetky zariadenia WEMO.
Poradný
IoActive sa cíti veľmi silne o zodpovednom zverejnení a ako také, ako aj v prípade zistených zraniteľností, ktoré boli starostlivo pracujúce na zraniteľnostiach. CERT, ktorý dnes vydá svoje vlastné poradenstvo, urobil niekoľko pokusov kontaktovať Belkina o týchto problémoch, Belkin však nereagoval.
Vzhľadom na to, že Belkin nevytvára žiadne typy opráv pre diskutované problémy, IoActive považoval za dôležité uvoľniť poradenstvo a subgargeSTS odpojuje všetky gadgety z nárazových produktov WEMO.
[Aktualizácia] Belkin teraz odporučil, že „používatelia s najnovším vydaním firmvéru (verzia 3949) nie sú v nebezpečenstve pre škodlivé útoky firmvéru alebo vzdialené spravovanie alebo sledovanie gadget WEMO z neoprávnených zariadení“. Aktualizujte svoj firmvér teraz.
Belkin.com: Wemo ponúkané z Amazonu
Chcieť viac? – Sledujte nás na Twitteri, ako sme my na Facebooku, alebo sa zaregistrujte do nášho informačného kanála RSS. Môžete dokonca dostať tieto spravodajské príbehy doručené e -mailom priamo do svojej doručenej pošty každý deň.
Zdieľajte toto:
Facebook
Twarch
Redit
Linkedin
Pinterest
E -mail
Viac
Whatsapp
Tlač
Skype
Tumblr
Telegram
Vreckovka
Leave a Reply