Миллионы роботов-пылесосов Shark уязвимы для удаленного взлома из-за ошибки в облачной политике AWS. Узнайте, как злоумышленники могут получить доступ к камерам, картам помещений и данным Wi-Fi, и почему исправление до сих пор не выпущено.
Недавно мы рассказывали об уязвимости безопасности в приложении Zoom, которая затрагивает несколько редакций Windows, включая Windows 11. Опасность этой уязвимости в том, что она может быть внедрена удаленно, без физического доступа к устройству. Если вы используете Zoom, обязательно следуйте официальным рекомендациям.
Аналогичная удаленная уязвимость вновь вышла на поверхность: сообщается, что миллионы подключенных к интернету роботов-пылесосов Shark уязвимы для удаленного выполнения кода (RCE). Причина — неправильно настроенная политика авторизации облачного сервиса Amazon Web Services (AWS), которая позволяет скомпрометированному сертификату устройства взаимодействовать с устройствами других клиентов.
Данные получены от исследователя безопасности под псевдонимом «tokay0», который утверждает, что эта уязвимость позволяет злоумышленнику удаленно выполнять произвольные shell-команды на затронутых пылесосах, потенциально превращая их в доступные через интернет устройства с камерами, моторами и доступом к конфиденциальным данным пользователей.
Исследователь обнаружил, что цифровой сертификат — учетные данные безопасности, которые каждый пылесос использует для подтверждения своей личности при подключении к облаку, — может взаимодействовать с другими устройствами Shark других клиентов, вместо того чтобы быть ограниченным только устройством владельца. По сути, сертификат, извлеченный из одного скомпрометированного пылесоса, может стать «отмычкой», способной связываться со многими другими в том же регионе AWS.
Отчет появился после того, как исследователь провел обратную разработку робота-пылесоса Shark RV2320EDUS. Проблема связана с излишне разрешительной политикой MQTT. MQTT (Message Queuing Telemetry Transport) — это облегченный протокол обмена сообщениями, обычно используемый устройствами умного дома и Интернета вещей (IoT) для обмена информацией с облачными сервисами. Поскольку облачная политика Shark слишком широка, украденный сертификат может отправлять команды и другим пылесосам, а не только своему собственному.
Proof-of-concept (PoC) продемонстрировал, что сертификат, извлеченный из одного пылесоса Shark, может успешно опубликовать сформированное MQTT-сообщение на совершенно другую модель Shark, что приводит к удаленному выполнению кода (RCE) на разных устройствах. По словам автора, для этого требуется только серийный номер жертвы, а сами серийные номера можно довольно легко получить через неограниченные подписки MQTT.
После успешного выполнения кода стало возможным даже удаленно управлять устройством, получать доступ к его встроенной камере, извлекать сохраненные карты помещений и восстанавливать предварительный ключ Wi-Fi владельца, который, по-видимому, хранился в открытом виде.
Чтобы оценить масштаб проблемы, tokay0 в течение 24 часов мониторил брокер AWS IoT, обработав более 10,5 миллионов MQTT-сообщений и идентифицировав 1 517 605 уникальных устройств Shark. Из них 673 816 устройств (примерно 44%) отвечали сообщениями Exec_Response, что указывает на поддержку удаленного выполнения команд. Однако исследователь полагает, что реальное число уязвимых устройств может быть еще выше.
Согласно опубликованному графику раскрытия информации, SharkNinja была уведомлена об уязвимости в марте 2026 года и подтвердила получение отчета. Однако исследователь утверждает, что повторные обращения показали незначительный прогресс, и 90-дневный период ответственного раскрытия истек без выпуска исправления. Таким образом, на момент публикации уязвимость остается незакрытой, и она вряд ли будет устранена обычным обновлением прошивки, поскольку это облачная уязвимость.
Источник: Today0
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Sayan Sen