當前位置： 首頁(yè) 新(xīn)聞動态

    Amazon Ring存在允許訪問私人攝像機錄制的漏洞

    2022/8/22 8:54:54 人評論 次

    Amazon Ring應用(yòng)程序中(zhōng)存在允許訪問私人攝像機錄制的漏洞

         用(yòng)于遠(yuǎn)程管理(lǐ)Amazon Ring outdoor（視頻門鈴）和室内監控攝像機的Android版Ring應用(yòng)程序中(zhōng)存在漏洞，攻擊者可(kě)能(néng)利用(yòng)該漏洞提取用(yòng)戶的個人數據和設備數據，包括地理(lǐ)位置、地址和錄音。

         Checkmarx的研究人員發現了該漏洞，他(tā)們更進一步，演示了攻擊者如何在計算機視覺技(jì )術的幫助下分(fēn)析大量記錄，以提取額外的敏感信息（例如，從計算機屏幕或紙質(zhì)文(wén)檔）和材料（例如，視頻記錄或兒童圖像）。

    ring.jpg

     關于這個漏洞

         “在com.ringapp/com.ring.nh.deeplink.DeepLinkActivity活動中(zhōng)發現了該漏洞，該活動在Android清單中(zhōng)隐式導出，因此，同一設備上的其他(tā)應用(yòng)程序可(kě)以訪問該漏洞，”研究人員解釋說。

         具(jù)體(tǐ)的漏洞和利用(yòng)細節可(kě)在此處找到，但簡而言之：如果攻擊者成功誘騙Ring用(yòng)戶下載巧盡心思構建的惡意應用(yòng)程序，該應用(yòng)程序可(kě)能(néng)會利用(yòng)該漏洞獲取身份驗證令牌和硬件ID，從而使攻擊者能(néng)夠通過多(duō)個Ring API訪問客戶的RIng帳戶。

         這将允許他(tā)們過濾存儲在雲中(zhōng)的受害者個人（姓名(míng)、電(diàn)子郵件、電(diàn)話号碼）和鈴聲設備數據（地理(lǐ)位置、地址和錄音）。

         但這還不是全部：該漏洞可(kě)能(néng)讓攻擊者從大量用(yòng)戶那裏獲取數百萬條記錄，并在機器學(xué)習技(jì )術的幫助下，自動發現敏感信息或材料。

         研究人員指出：“[Amazon]Rekognion可(kě)用(yòng)于自動分(fēn)析這些記錄，并提取對惡意參與者有(yǒu)用(yòng)的信息。Rekognation可(kě)掃描無限數量的視頻，并檢測對象、文(wén)本、面部和公(gōng)衆人物(wù)等。”。

     該漏洞已被修複

         好消息是，研究人員已私下向亞馬遜Ring開發團隊報告了該漏洞，并在Ring移動應用(yòng)程序的.51版本（3.51.0 Android，5.51.0iOS）中(zhōng)修複了該漏洞。

         “根據我們的審查，沒有(yǒu)暴露任何客戶信息，”亞馬遜告訴研究人員，并補充說，“任何人都很(hěn)難利用(yòng)這個問題，因為(wèi)它需要一系列不太可(kě)能(néng)的複雜環境來執行。”

         盡管如此，既然知識已經公(gōng)開，Ring用(yòng)戶應該檢查他(tā)們是否已經升級到了應用(yòng)的固定版本，如果沒有(yǒu)，就立即升級。


    返回列表

    相關新(xīn)聞

    ×