Le chercheur en sécurité Dhiraj Mishra vient de découvrir une vulnérabilité de sécurité, CVE-2019-12477, dans la marque smart TV SUPRA.
Apparemment, Supra TV permet Nuage intelligent inclusion de fichier distant dans la fonction openLiveURL, ce qui pourrait permettre à un attaquant local de diffuser de la vidéo fausse sans authentification avec / à distance / media_control?Action = Ensembles&uri = URI.
En savoir plus sur CVE-2019-12477
SUPRA est une société russe qui fabrique des équipements audio-vidéo, appareils électroménagers et l'électronique automobile. La plupart de la technologie est distribué par le biais des sites Web de commerce électronique basés en Russie, Chine, et Emirats Arabes Unis.
Dans son rapport, le chercheur partagé qu'il parviendrait à exploiter `openLiveURL()`Qui permet à un attaquant local de diffuser de la vidéo sur la télévision supra nuage intelligent. "J'ai trouvé cette vulnérabilité d'abord par l'examen du code source, puis en rampant l'application et la lecture chaque demande m'a aidé à déclencher cette vulnérabilité,» A déclaré Mishra.
Pour déclencher la vulnérabilité, un attaquant aurait seulement envoyer une requête spécialement conçue à l'adresse suivante:
https://192.168.1.155/à distance / media_control?Action = Ensembles&uri = https://attacker.com/fake_broadcast_message.m3u8.
Bien que l'URL de mention ci-dessus prend (.m3u8) Format vidéo basé. Nous pouvons utiliser `pelotonner -v -X GET` envoyer cette demande, En général, c'est une inclusion de fichier distant unauth. Un attaquant pourrait diffuser une vidéo sans authentification, le pire attaquant de cas pourrait exploiter cette vulnérabilité pour diffuser un message d'urgence faux (droit effrayant?).
Le problème ici est que la vulnérabilité reste non corrigée et il est fort probable qu'il restera de cette façon. Le chercheur n'a pas trouvé de moyen de contacter le vendeur pour présenter ses conclusions. Il y a aussi une vidéo preuve de concept révélant l'exploitation réussie. La vidéo montre comment un discours de Steve Jobs est soudainement remplacé par le faux d'un attaquant “Message d'alerte d'urgence”.
La vulnérabilité a été attribué un identifiant CVE, CVE-2019-12477, mais il n'y a pas d'information si elle ne sera jamais adresses. Si, ce qui peut les propriétaires de SUPRA Smart TV Nuage faire? La réponse courte est de garder le réseau sans fil aussi sûr que possible en utilisant un mot de passe et un pare-feu pour tous les appareils intelligents. Car, comme nous sommes prouvé tous les jours, les maisons intelligentes ne sont pas si intelligents tout.
Un excellent exemple de la façon dont il est facile de pirater une maison intelligente vient de chercheurs Avast. Août dernier, ils ont mis en garde contre le protocole MQTT (Transport message Queuing Telemetry) laquelle, si mal configuré, pourrait donner aux pirates un accès complet à une maison intelligente. En raison de cette lacune de sécurité, la maison pourrait être manipulé à bien des égards, y compris ses systèmes de divertissement et de la voix, divers appareils ménagers, et les portes intelligentes.
Milena Dimitrova
Un écrivain et gestionnaire de contenu inspiré qui travaille avec SensorsTechForum depuis le début du projet. Un professionnel avec 10+ années d'expérience dans la création de contenu engageant. Axé sur la vie privée des utilisateurs et le développement des logiciels malveillants, elle croit fermement dans un monde où la cybersécurité joue un rôle central. Si le bon sens n'a pas de sens, elle sera là pour prendre des notes. Ces notes peuvent se tourner plus tard dans les articles! Suivre Milena @Milenyim
Suivez-moi: