De cloudgekoppelde robotstofzuigers van Shark zijn momenteel kwetsbaar door een niet-gepatchte AWS-kwetsbaarheid. Amazon Een beveiligingslek in het IoT-beleid (Internet of Things) dat ervoor kan zorgen dat één gecompromitteerd apparaat een soort afstandsbediening wordt voor vele andere apparaten in dezelfde regio, met toegang tot camera's, kaarten en wifi-wachtwoorden.
Een onderzoeker met de gebruikersnaam tokay0 heeft een Shark RV2320EDUS-robotstofzuiger uit elkaar gehaald en ontdekte dat het ingebouwde AWS IoT-certificaat toestemming heeft om onderwerpen te publiceren en te volgen voor elk Shark-apparaat in dezelfde AWS-regio, en niet alleen voor zichzelf.
Een AWS-regio is een afzonderlijke geografische locatie waar Amazon AWS clustert zijn cloud-datacenters. Elke AWS-regio is volledig geïsoleerd van de andere. Er zijn momenteel 39 AWS-regio's wereldwijd.
AWS biedt standaard per apparaat „schaduwen“ aan waarin de status, zoals configuratie en opdrachten, wordt opgeslagen. Door het veel te soepele MQTT-beleid (Message Queuing Telemetry Transport) van Shark kan een gestolen certificaat echter ook communiceren met de schaduwen van andere stofzuigers.
Simpel gezegd betekent dit dat elke stofzuiger zijn eigen ‘inbox’ in de cloud zou moeten hebben. Omdat de cloudregels van Shark te ruim zijn, kan een certificaat dat van één stofzuiger is gestolen ook opdrachten naar de inboxen van andere stofzuigers sturen.
Hoewel het certificaat via fysieke toegang en een debugconsole uit het vacuüm werd gehaald – wat betekent dat voor de eerste inbreuk fysieke toegang vereist is – vindt het daaropvolgende misbruik op afstand en in de cloud plaats.
Voor eigenaren gaat het hier niet alleen om het feit dat iemand om 3.00 uur ’s nachts je stofzuiger aanzet. Volgens de onderzoeker zou een aanvaller met die toegang tot de cloud het volgende kunnen doen:
- Bekijk de beelden via de camera van de stofzuiger, waardoor deze verandert in een mobiel bewakingsapparaat in uw huis.
- Steel het wifi-wachtwoord, dat volgens de onderzoeker in leesbare tekst is opgeslagen, waardoor hij mogelijk toegang krijgt tot je lokale netwerk.
- Kopieer de plattegrond van je huis die de stofzuiger heeft gemaakt, waarop de indeling van de kamers en de gebruiksfrequentie van de verschillende ruimtes te zien zijn.
We hebben al eerder gezien hoe 'slimme' stofzuigers een risico kunnen vormen voor de privacy en veiligheid wanneer fabrikanten bezuinigen op de beveiliging. Malwarebytes Labs heeft bijvoorbeeld beschreven hoe robotstofzuigers van Ecovacs gehackt konden worden om obscene berichten af te spelen en gebruikers te bespioneren via hun luidsprekers en sensoren. Dit laat zien hoe snel een handig huishoudelijk apparaat een ongewenste huisgenoot kan worden.
Met behulp van het certificaat uit zijn eigen „vacuum“ kon de onderzoeker het verkeer van Shark-apparaten in dezelfde AWS-regio monitoren en vaststellen welke apparaten het uitvoeren van opdrachten op afstand ondersteunden. Gedurende een periode van 24 uur in één enkele AWS-regio registreerde de onderzoeker 1.517.605 unieke serienummers van Shark-apparaten en constateerde hij dat 673.816 apparaten (ongeveer 44%) op een manier reageerden die erop wees dat ze de functie voor het uitvoeren van opdrachten op afstand ondersteunden.
De onderzoeker schreef:
“Het is moeilijk om het exacte aantal getroffen apparaten in te schatten, en nog moeilijker om vast te stellen welke apparaten deze verkeerd geconfigureerde certificaten bevatten die publicatie tussen verschillende apparaten mogelijk maken.”
Maar kwam tot de conclusie dat:
“Een zeer groot aantal SharkNinja IoT-apparaten is kwetsbaar voor dit beveiligingslek.”
Hoe blijf ik veilig
De kern van dit probleem is een beleid aan de cloudzijde dat niet streng genoeg is. Daardoor is dit een probleem aan de serverzijde, en geen firmwarefout die je zelf kunt verhelpen.
Volgens de onderzoeker heeft SharkNinja het beveiligingslek nog niet verholpen, hoewel het bedrijf hierover al meer dan zes maanden geleden op de hoogte is gesteld. Zolang daar geen verandering in komt, moeten eigenaren:
- Oefen druk uit op Shark om het probleem op te lossen.
- Schakel de afstandsbediening van de stofzuiger uit of verbreek de verbinding met het wifi-netwerk als u de slimme functies niet nodig hebt.
- Houd de mededelingen van Shark in de gaten over een oplossing, CVE of terugroepactie.
Surf alsof niemand kijkt.
Malwarebytes Privacy VPN Versleutelt je verbinding en registreert nooit wat je doet, zodat het volgende verhaal dat je leest niet persoonlijk hoeft aan te voelen. Probeer het gratis →
