北京
安全研究员tokay0本周一披露了一项针对鲨客（Shark）扫地机器人的攻击手段：从任意一台设备中提取客户端证书，即可在同一亚马逊云服务（AWS）区域内向其他所有鲨客机器人发送root权限指令。这一漏洞让攻击者能够调取实时摄像头画面、获取存储的家庭地图，以及读取以明文形式保存的Wi-Fi登录凭证。漏洞根源是AWS物联网策略权限过于宽松——设备用于认证的证书未与具体机器绑定，从单一设备上窃取的证书就变成了监视和操纵整个区域同类设备的万能钥匙。通过将命令注入云端的Exec_Command字段，机器人上的管理守护进程会不加过滤地把1000字节以内的内容直接递交到系统命令行。
tokay0用自购设备进行了验证，在AV1102ARUS型号上实现了跨型号反向连接，并成功提取了机载摄像头的实时视频流。他对单一AWS区域进行了24小时被动监测，发现了约151.76万个独特设备序列号，其中67.38万台设备对指令探测做出回应，响应率达44%。需要指出的是，这些只是被观测到存活并回应的设备，并非实际入侵或控制的规模。由于证书被锁定在特定AWS区域，在某一区域窃取的凭据危害半径只覆盖该区域内的同品牌设备，但涉及的设备基数依然惊人。
研究员公开了与SharkNinja的沟通时间线：3月1日报告漏洞，公司3月12日确认收到，4月27日表示正在审查，7月3日承诺在7月10日前给出修复完成日期，但最终食言。SharkNinja还试图淡化漏洞严重性，甚至质疑为其分配公开漏洞编号的必要，这与公司自己宣称的“定期提供进展更新”的披露政策形成鲜明对比。截至7月16日，官方仍未发布任何公开说明。弥补这一漏洞无需等待固件更新，只需运营方在自有AWS账户内推进一个限定权限的策略版本即可，但用户迟迟等不来修复。与此形成对照的是，今年2月DJI Romo系列扫地机发生类似授权漏洞，导致约6700台设备隐私暴露，DJI在数周内发布补丁，发现漏洞的研究员最终获得3万美元赏金。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
