Amazon Ring存在允许访问私人摄像机录制的漏洞

    2022/8/22 8:54:54 人评论 次

    Amazon Ring应用(yòng)程序中存在允许访问私人摄像机录制的漏洞

         用(yòng)于遠(yuǎn)程管理(lǐ)Amazon Ring outdoor（视频门铃）和室内监控摄像机的Android版Ring应用(yòng)程序中存在漏洞，攻击者可(kě)能(néng)利用(yòng)该漏洞提取用(yòng)户的个人数据和设备数据，包括地理(lǐ)位置、地址和录音。

         Checkmarx的研究人员发现了该漏洞，他(tā)们更进一步，演示了攻击者如何在计算机视觉技术的帮助下分(fēn)析大量记录，以提取额外的敏感信息（例如，从计算机屏幕或纸质文(wén)档）和材料（例如，视频记录或儿童图像）。

    ring.jpg

     关于这个漏洞

         “在com.ringapp/com.ring.nh.deeplink.DeepLinkActivity活动中发现了该漏洞，该活动在Android清单中隐式导出，因此，同一设备上的其他(tā)应用(yòng)程序可(kě)以访问该漏洞，”研究人员解释说。

         具體(tǐ)的漏洞和利用(yòng)细节可(kě)在此处找到，但简而言之：如果攻击者成功诱骗Ring用(yòng)户下载巧尽心思构建的恶意应用(yòng)程序，该应用(yòng)程序可(kě)能(néng)会利用(yòng)该漏洞获取身份验证令牌和硬件ID，从而使攻击者能(néng)够通过多(duō)个Ring API访问客户的RIng帐户。

         这将允许他(tā)们过滤存储在云中的受害者个人（姓名、電(diàn)子邮件、電(diàn)话号码）和铃声设备数据（地理(lǐ)位置、地址和录音）。

         但这还不是全部：该漏洞可(kě)能(néng)让攻击者从大量用(yòng)户那里获取数百万条记录，并在机器學(xué)习技术的帮助下，自动发现敏感信息或材料。

         研究人员指出：“[Amazon]Rekognion可(kě)用(yòng)于自动分(fēn)析这些记录，并提取对恶意参与者有(yǒu)用(yòng)的信息。Rekognation可(kě)扫描无限数量的视频，并检测对象、文(wén)本、面部和公众人物(wù)等。”。

     该漏洞已被修复

         好消息是，研究人员已私下向亚马逊Ring开发团队报告了该漏洞，并在Ring移动应用(yòng)程序的.51版本（3.51.0 Android，5.51.0iOS）中修复了该漏洞。

         “根据我们的审查，没有(yǒu)暴露任何客户信息，”亚马逊告诉研究人员，并补充说，“任何人都很(hěn)难利用(yòng)这个问题，因為(wèi)它需要一系列不太可(kě)能(néng)的复杂环境来执行。”

         尽管如此，既然知识已经公开，Ring用(yòng)户应该检查他(tā)们是否已经升级到了应用(yòng)的固定版本，如果没有(yǒu)，就立即升级。


    ×