Amazon Ring存在允許訪問私人攝像機錄制的漏洞
Amazon Ring應用(yòng)程序中(zhōng)存在允許訪問私人攝像機錄制的漏洞
用(yòng)于遠(yuǎn)程管理(lǐ)Amazon Ring outdoor（視頻門鈴）和室内監控攝像機的Android版Ring應用(yòng)程序中(zhōng)存在漏洞，攻擊者可(kě)能(néng)利用(yòng)該漏洞提取用(yòng)戶的個人數據和設備數據，包括地理(lǐ)位置、地址和錄音。
Checkmarx的研究人員發現了該漏洞，他(tā)們更進一步，演示了攻擊者如何在計算機視覺技(jì )術的幫助下分(fēn)析大量記錄，以提取額外的敏感信息（例如，從計算機屏幕或紙質(zhì)文(wén)檔）和材料（例如，視頻記錄或兒童圖像）。
關于這個漏洞
“在com.ringapp/com.ring.nh.deeplink.DeepLinkActivity活動中(zhōng)發現了該漏洞，該活動在Android清單中(zhōng)隐式導出，因此，同一設備上的其他(tā)應用(yòng)程序可(kě)以訪問該漏洞，”研究人員解釋說。
具(jù)體(tǐ)的漏洞和利用(yòng)細節可(kě)在此處找到，但簡而言之：如果攻擊者成功誘騙Ring用(yòng)戶下載巧盡心思構建的惡意應用(yòng)程序，該應用(yòng)程序可(kě)能(néng)會利用(yòng)該漏洞獲取身份驗證令牌和硬件ID，從而使攻擊者能(néng)夠通過多(duō)個Ring API訪問客戶的RIng帳戶。
這将允許他(tā)們過濾存儲在雲中(zhōng)的受害者個人（姓名(míng)、電(diàn)子郵件、電(diàn)話号碼）和鈴聲設備數據（地理(lǐ)位置、地址和錄音）。
但這還不是全部：該漏洞可(kě)能(néng)讓攻擊者從大量用(yòng)戶那裏獲取數百萬條記錄，并在機器學(xué)習技(jì )術的幫助下，自動發現敏感信息或材料。
研究人員指出：“[Amazon]Rekognion可(kě)用(yòng)于自動分(fēn)析這些記錄，并提取對惡意參與者有(yǒu)用(yòng)的信息。Rekognation可(kě)掃描無限數量的視頻，并檢測對象、文(wén)本、面部和公(gōng)衆人物(wù)等。”。
該漏洞已被修複
好消息是，研究人員已私下向亞馬遜Ring開發團隊報告了該漏洞，并在Ring移動應用(yòng)程序的.51版本（3.51.0 Android，5.51.0iOS）中(zhōng)修複了該漏洞。
“根據我們的審查，沒有(yǒu)暴露任何客戶信息，”亞馬遜告訴研究人員，并補充說，“任何人都很(hěn)難利用(yòng)這個問題，因為(wèi)它需要一系列不太可(kě)能(néng)的複雜環境來執行。”
盡管如此，既然知識已經公(gōng)開，Ring用(yòng)戶應該檢查他(tā)們是否已經升級到了應用(yòng)的固定版本，如果沒有(yǒu)，就立即升級。
相關新(xīn)聞
-
>數以千計的 QNAP NAS 設備被DeadBolt勒索軟件攻擊 （CVE-2022-27593）
-
>IPguard發布新(xīn)版本4.51.113.0
-
>什麽是數據工(gōng)程師？
-
>IPguard發布新(xīn)版本4.61.123.0
-
>祝賀我司續簽IPguard鑽石代理(lǐ)(最高級)
-
>IPguard發布新(xīn)版本4.54.818.0
-
>GitLab的Critical RCE bug已修補，請盡快更新(xīn)！（CVE-2022-2884）
-
>屏幕水印技(jì )術有(yǒu)哪些表現形态
-
>IPguard發布新(xīn)版本4.53.613.0
-
>修複Atlassian Bitbucket服務(wù)器和數據中(zhōng)心中(zhōng)的關鍵漏洞！（CVE-2022-36804）
