|
|
发表于 2019-3-5
|
|阅读模式
户外技术CHIPS智能耳机中的一系列安全漏洞适合滑雪头盔，允许不良演员收集电子邮件，密码，GPS位置等数据 - 甚至可以实时收听对话。
/ n9 }# J* G) }6 l3 F8 [
+ m2 Y4 G1 A9 X5 t5 Q9 u研究人员在一副智能耳机中发现了一系列漏洞，这些耳机专为滑雪头盔而设计。这些瑕疵可能让一个不好的演员通过耳机的对讲机功能查看受害者的个人信息，跟踪他们，甚至听他们的私人谈话，该功能使用移动数据和手机应用程序。
6 N. w1 N3 h2 \' O3 t* K' z5 D) s
8 Q9 k1 d3 Y* L# P3 X6 SPen Test Partners的研究人员在Outdoor Tech CHIPS智能耳机中发现了一系列安全漏洞。. C# Z9 j/ p" ] ` R
. L7 i5 i% l! }
“我们推测开发公司没有遵循OWASP [开放式网络应用安全项目]的安全开发实践，而且户外技术在安全性方面并不十分精通，无法对此进行查询，”Pen Test Partners研究员Alan Monie在周一的分析中表示。“很遗憾，因为我们非常喜欢这款产品，但它的安全性却非常缺乏。即使是预期的功能也会泄露个人身份信息（PII）。太疯狂了。”
$ ]# o" p& l; G1 X! @' E1 e( g" B8 V$ j$ z4 W7 [1 b; y- i! X
在意识到对讲机功能泄漏了PII之后，Monie最初决定分析耳机：“对讲机应用引起了我的注意，”他说。“我开始组建一个小组，发现我可以看到所有用户。我开始搜索自己的名字，发现我可以检索帐户中同名的每个用户。“
4 q6 H# A- u( g# u; G# H }$ |4 {8 b" ?& g) {; y K
物联网安全滑雪头盔缺陷, n! B& u, q% }. f- \7 b9 z/ k
1 e# \+ n2 i S8 l2 QMonie发现，通过不安全的直接对象引用（IDOR）故障，他能够进行一系列恶意活动。IDOR错误允许基于用户控制下的某个键值（例如，用户提交的值或可由用户操纵的URL字符串）来检索信息。密钥通常将识别和获取存储在系统中的用户相关记录; 但是，如果处理不当，授权过程将无法正确检查数据访问操作，以确保执行操作的经过身份验证的用户具有足够的权限来执行请求的数据访问，从而允许攻击者绕过任何其他授权检查。系统。
: p3 e5 {3 K+ M; y. t# u: p }2 S/ d
在此特定方案中，攻击者可以从API中提取所有用户和电子邮件地址，以纯文本格式检索密码哈希值和密码重置代码，以及查看用户的电话号码。
, T! p H$ n7 b
' U& V! t7 z4 A' b" b' t但除了窃取个人信息之外，不良演员还可以提取用户的实时GPS位置并收听实时对讲机聊天。
% q9 H; k( e7 h! g9 _( {( h5 s! S! r7 m. q& D
Monie还告诉Threatpost，任何人都可以在App Store下载Outdoor Tech的音频应用程序，然后可以自行注册帐户并远程破坏任何其他用户帐户。
, @0 K% X8 E9 @/ W& W v8 |+ F
2 }& n7 z: j6 ?8 c5 e6 Q3 `: E1 I1 K“显然，我只是在他们允许的情况下提取了我的或我朋友的数据，”他说。“道德意图较低的人可能会做得更糟。”
m5 S4 X4 v3 J, A
. }( R$ T+ d8 {+ L) C! Y物联网安全滑雪头盔缺陷% [+ g9 t2 F8 W6 t; y
0 T8 G! W/ T3 V! ~9 F5 y: T/ k更糟糕的是，经过多次尝试从2月6日开始通知Outdoor Tech的漏洞后，研究人员表示该公司并没有承认安全问题。
6 K8 @8 I. k% \! ?0 y* U* v! C% r0 I( \
“七天后，我们在20 日再次追赶他们 月2日，并指出我们现在将公开披露，因为漏洞尚未得到承认，并且没有提出任何补救行动，”莫妮说。“从那以后我们什么都没听到。”" t) \1 c7 Y; S9 p! e
% G$ z& w0 w1 [% n, K
Outdoor Tech没有回应Threatpost的评论请求。 |
|
