Уязвимости позволяют взломать робот-пылесос Diqee 360 и шпионить за его владельцами

Специалисты Positive Technologies раскрыли данные о двух уязвимостях (CVE-2018-10987 и CVE-2018-10988) в китайских роботах-пылесосах Diqee 360. За счет этих багов атакующий может выполнить на устройстве произвольный код с привилегиями superuser, что позволяет полностью перехватить управление пылесосом.

Эксперты рассказывают, что равно как и любое другое IoT-устройство, скомпрометированный пылесос может стать частью ботнета и использоваться, например, для проведения DDoS-атак. Однако это далеко не самые худшие последствия потенциального взлома. Дело в том, что Diqee 360 поддерживают Wi-Fi, комплектуются камерой ночного виденья, а контролировать их навигацию можно с обычного смартфона. В итоге взломанный робот-пылесос может стать в руках преступников отличным шпионским гаджетом.

Уязвимость CVE-2018-10987 можно эксплуатировать удаленно. И хотя для использования уязвимости атакующий должен быть аутентифицирован, эксперты Positive Technologies пишут, что админский аккаунт на всех устройствах Diqee 360 по умолчанию имеет пароль 888888, а изменить учетные данные догадываются далеко не все пользователи.

В итоге злоумышленнику нужно лишь направить устройству специально сконструированный UDP-пакет и выполнить нужную команду из-под root. Корень проблемы лежит в REQUEST_SET_WIFIPASSWD (UDP команда 153), то есть вредоносный пакет запускает /mnt/skyeye/mode_switch.sh %s, где переменную %s контролирует преступник.

Вторую уязвимость, CVE-2018-10988, можно эксплуатировать только имея физический доступ к устройству. Однако последствия от такой атаки могут быть очень серьезными: злоумышленник без труда может модифицировать или подменить прошивку пылесоса, попросту вставив в уязвимое устройство карту microSD. Дело в том, что в поисках обновленной прошивки процесс обновления обращается к адресу /mnt/sdcard/$PRO_NAME/upgrade.sh или /sdcard/upgrage_360/upgrade.sh на карте. Никаких проверок подписей и целостности файлов перед выполнением кода не осуществляется.

Хотя аналитики Positive Technologies уже давно уведомили производителя о багах, патчи для них до сих пор не выпущены. Хуже того, исследователи полагают, что похожим проблемам могут быть подвержены и другие IoT-устройства производителя, который также выпускает DVR, камеры видеонаблюдения и умные дверные звонки.

Напомню, что это не первый случай обнаружения уязвимостей в роботах-пылесосах. В 2017 году похожие проблемы были обнаружены в пылесосах LG. Баги так же позволяли превратить умный гаджет в идеального соглядатая.

Источник: https://xakep.ru/2018/07/20/diqee-360/