Amazon Ring存在允許訪問私人攝像機錄制的漏洞

    2022/8/22 8:54:54 人評論 次

    Amazon Ring應用程序中(zhōng)存在允許訪問私人攝像機錄制的漏洞

         用于遠程管理Amazon Ring outdoor（視頻(pín)門鈴）和室内監控攝像機的Android版Ring應用程序中(zhōng)存在漏洞，攻擊者可能利用該漏洞提取用戶的個人數據和設備數據，包括地理位置、地址和錄音。

         Checkmarx的研究人員(yuán)發現了該漏洞，他們更進一(yī)步，演示了攻擊者如何在計算機視覺技術的幫助下(xià)分(fēn)析大(dà)量記錄，以提取額外(wài)的敏感信息（例如，從計算機屏幕或紙(zhǐ)質文檔）和材料（例如，視頻(pín)記錄或兒童圖像）。

    ring.jpg

     關于這個漏洞

         “在com.ringapp/com.ring.nh.deeplink.DeepLinkActivity活動中(zhōng)發現了該漏洞，該活動在Android清單中(zhōng)隐式導出，因此，同一(yī)設備上的其他應用程序可以訪問該漏洞，”研究人員(yuán)解釋說。

         具體(tǐ)的漏洞和利用細節可在此處找到，但簡而言之：如果攻擊者成功誘騙Ring用戶下(xià)載巧盡心思構建的惡意應用程序，該應用程序可能會利用該漏洞獲取身份驗證令牌和硬件ID，從而使攻擊者能夠通過多個Ring API訪問客戶的RIng帳戶。

         這将允許他們過濾存儲在雲中(zhōng)的受害者個人（姓名、電(diàn)子郵件、電(diàn)話(huà)号碼）和鈴聲設備數據（地理位置、地址和錄音）。

         但這還不是全部：該漏洞可能讓攻擊者從大(dà)量用戶那裏獲取數百萬條記錄，并在機器學習技術的幫助下(xià)，自動發現敏感信息或材料。

         研究人員(yuán)指出：“[Amazon]Rekognion可用于自動分(fēn)析這些記錄，并提取對惡意參與者有用的信息。Rekognation可掃描無限數量的視頻(pín)，并檢測對象、文本、面部和公衆人物(wù)等。”。

     該漏洞已被修複

         好消息是，研究人員(yuán)已私下(xià)向亞馬遜Ring開(kāi)發團隊報告了該漏洞，并在Ring移動應用程序的.51版本（3.51.0 Android，5.51.0iOS）中(zhōng)修複了該漏洞。

         “根據我(wǒ)們的審查，沒有暴露任何客戶信息，”亞馬遜告訴研究人員(yuán)，并補充說，“任何人都很難利用這個問題，因爲它需要一(yī)系列不太可能的複雜(zá)環境來執行。”

         盡管如此，既然知(zhī)識已經公開(kāi)，Ring用戶應該檢查他們是否已經升級到了應用的固定版本，如果沒有，就立即升級。


    ×