McAfee открива уязвимост в Peloton Bike +

Макафи има разкри уязвимост в Peloton’s Bike + оборудване за упражняване на линия и протектор, което ще даде на нападателя пълен, незабелязан достъп до устройството, включително неговата камера и микрофон.

McAfee работи с Peloton през март, за да отстрани проблема и оттогава Peloton пусна актуализация, която решава уязвимостта.

В публикация в блог изследователите на McAfee’s Advanced Threat Research Сам Куин и Марк Береза ​​обясниха, че недостатъкът е в процеса на Android Verified Boot на мотоциклета, който според тях първоначално е извън обхвата и оставя Peloton уязвим.

Куин и Береза сподели видеоклип от тяхната работа, демонстрирайки как са успели да заобиколят процеса на Android Verified Boot и да компрометират Android OS.

Блогът описва различни начини, по които уязвимостта би могла да бъде използвана от нападателите с физически достъп до оборудване за упражнения Bike + или Tread. Изследователите включи карта в който са изброени всички публично достъпни съоръжения на Peloton, налични в пространства като фитнес зали, хотели, жилищни комплекси и дори круизни кораби.

PeloBuddy

“Най-лошият сценарий за такъв вектор на атака може да включва злонамерен агент, стартиращ Peloton с модифицирано изображение, за да получи повишени привилегии, и след това да използва тези привилегии за установяване на обратна обвивка, предоставяйки на атакуващия неограничен достъп до корен на велосипеда от разстояние. нападателят никога не трябва да отключва устройството, за да зареди модифицирано изображение, няма да има и следа от какъвто и да е достъп, постигнат на устройството “, написаха Куин и Береза

“Този вид атака може да бъде ефективно доставена чрез процеса на веригата за доставки. Злонамерен актьор може да подправя продукта по всяко време от строителството до склада до доставката, като инсталира задна врата в таблета с Android, без да знае краят потребител. Друг сценарият може да бъде, че нападателят може просто да отиде до едно от тези устройства, което е инсталирано във фитнес зала или фитнес зала и да извърши същата атака, получавайки root достъп на тези устройства за по-късна употреба. “

Дори имаше начини за нападателите да направят присъствието си постоянно, като модифицират операционната система, поставяйки се в позиция човек в средата. В този случай нападателят ще има пълен достъп до мрежов трафик и SSL криптиран трафик, използвайки техника, наречена SSL откачване, обяснява блогът.

“Прихващането и декриптирането на мрежовия трафик по този начин може да доведе до компрометиране на личните данни на потребителите. И накрая, Peloton Bike + също има инсталирана камера и микрофон. Наличието на отдалечен достъп с root права на таблета с Android ще позволи на хакер да ги наблюдава устройства и се демонстрира във видеото за въздействие [above], “казаха изследователите.

Простотата на уязвимостта накара Куин и Береза ​​да се свържат с Peloton, който по-късно откри, че проблемът се простира отвъд само Bike + до тренировъчното оборудване на Tread.

Компанията пусна поправка за проблема, която вече не позволява командата “boot” да работи върху компилация на потребител, смекчавайки изцяло тази уязвимост, според изследователите.

Адриан Стоун, ръководител на глобалната информационна сигурност на Peloton, заяви, че ако нападателят е в състояние да получи физически достъп до всяко свързано устройство в дома, допълнителните физически контроли и предпазни мерки стават все по-важни.

“За да запазим сигурността на членовете си, действахме бързо и в координация с McAfee. В началото на юни наложихме задължителна актуализация и всяко устройство с инсталирана актуализация е защитено от този проблем”, добави Стоун.

Публикациите се превеждат автоматично с google translate

Източник: www.zdnet.com