这些 WiFi 车库门存在重大网络漏洞

这些 WiFi 车库门存在重大网络漏洞

如果您有 Nexx 品牌的 WiFi 车库门开启器,现在正是卸载它的好时机。一位安全研究人员发现了许多漏洞,这些漏洞允许世界各地的黑客远程打开任何配备 Nexx 的车库门,并在 Medium 上的一篇博客文章中详细介绍了这一点。最糟糕的是,该公司没有尝试修复问题。

Motherboard率先报道了这一消息,安全研究员 Sam Sabetan 在进行独立安全研究时发现了 Nexx 智能设备产品线中存在严重漏洞。尽管他也发现了 Nexx 智能警报器和插头中的漏洞,但 WiFi 连接的智能车库门开启器才是最大的问题。

Sabetan 解释道,当用户使用 Nexx Home 移动应用设置新的 Nexx 设备时,它会从 Nexx 云服务收到一个密码——据说是为了使用名为 MQTT(消息队列遥测传输)的轻量级消息协议在设备与 Nexx 的在线服务之间进行安全通信。MQTT 使用一种称为发布-订阅模型的通信框架,这使其能够在不稳定的网络和资源受限的设备上工作,但也带来了额外的安全问题。

当有人使用 Nexx 应用程序打开车库门时,该应用程序不会直接与开门器通信。相反,它会向 Nexx 的 MQTT 服务器发送一条消息。车库门开启器订阅了服务器,当它看到相关消息时,就会打开门。这可以实现可靠的性能,并且意味着您的智能手机不必与车库门开启器位于同一网络上,但至关重要的是,使用该服务的每个设备都必须有一个安全、唯一的密码。

但事实并非如此。Sabetan 发现,所有 Nexx 车库门控制器和智能插头的密码都完全相同。

在一段演示黑客攻击的视频中,Sabetan 展示了他如何通过拦截 Nexx 智能车库门开启器与 MQTT 服务器的通信来获取通用密码。然后,Sabetan 能够使用拦截到的凭据登录服务器,并查看数百名 Nexx 客户的设备发布的消息。这些消息还透露了电子邮件地址、设备 ID 和帐户持有人的姓名。

更糟糕的是,Sabetan 能够重放他的设备向服务器发送的打开车库门的消息。虽然他没有这样做,但他本可以使用同样的技术打开世界上任何 Nexx 用户的车库门。(他也可以打开或关闭他们的智能插头,这虽然很烦人,但危险性不大。)

由于 Nexx ID 与电子邮件地址绑定,此漏洞可能允许黑客针对特定 Nexx 用户,或随意打开车库门。而且由于通用密码直接嵌入设备中,用户无法更改密码或以其他方式保护自己。

Sabetan 估计受影响的 Nexx 设备超过 40,000 台,他确定有超过 20,000 人拥有活跃的 Nexx 账户。如果你是其中之一,你唯一能做的就是拔掉你的 Nexx 设备并向该公司开具支持单。

尽管这些都令人震惊,但 Nexx 的迟迟没有回应让情况更加糟糕。Sabetan 于 1 月初首次就该漏洞联系了 Nexx 支持部门。尽管多次跟进,但该公司仍忽略了他的报告,只是回应了一个不相关的支持问题。2 月,Sabetan 联系了美国网络安全和基础设施安全局 (CISA) 报告了漏洞,但 CISA 甚至没有得到 Nexx 的回复。最后, Motherboard在公开披露漏洞之前尝试联系 Nexx——当然,没有收到任何回复。

现在,CISA 已发布关于这些漏洞的公开咨询通知,Sabetan 和Motherboard也对这些漏洞进行了详细描述。这意味着黑客利用 Nexx 车库门开启器、智能插头或智能警报器所需的一切都已暴露。因此,如果您拥有这些设备之一,请立即拔掉插头。

<<:  两款戒酒应用在未经用户同意的情况下共享用户数据

>>:  听起来像人工智能聊天机器人可能会损害你的信誉

推荐阅读

购买索尼 ZV-E10 相机套件可节省 100 美元(有史以来最便宜的价格),开始您的网红生涯

近年来,智能手机相机的性能越来越出色,但硬核内容创作者仍然依赖专用相机来提高其制作价值。目前,亚马逊...

本周我们了解到的最奇怪的事情:致命的失眠症、最漂亮的便便和紧急养蜂人

本周你学到的最奇怪的事情是什么?好吧,不管是什么,我们保证如果你听 PopSci 的最新播客,你会得...

喷气发动机及其搭载飞机的惊人历史

1942 年 10 月 1 日是航空史的一个不同寻常的开端。许多人从 1903 年莱特兄弟在基蒂霍...

激光可以将薄薄的宇宙飞船送往恒星

研究人员称,激光现在已经足够先进,可以帮助发射星际探测器。科学家计算得出,重量为克的激光推进太空探测...

很有可能,有一天太阳会摧毁电网

让我们谈谈天气吧。约翰·库恩2013 年 6 月 18 日日落后不久,一名女子驾驶小型货车驶入马萨诸...

掌握飞机上睡觉的艺术

在飞机上睡觉很难,但只要带上合适的装备、提前做好准备,并知道如何让自己舒服一点,就可以让事情变得更容...

彻底回顾《Kuruneko<New>1》未播出剧集!奈亚洛克·福尔摩斯系列的魅力何在?

Kuruneko <新> 1 部 Nyarlock Holmes 系列未播出剧集《Ku...

电影《樱桃小丸子》评论:大野与杉山的魅力何在?

“樱桃小丸子:大野与杉山”——电影评论和细节影片概述《樱桃小丸子:大野与杉山》是改编自樱花桃子的人...

《移动的资产负债表》点评:日本闪耀的矿业究竟有何魅力?

《移动的资产负债表(光辉日本矿业)》的诉求与评价《移动的资产负债表(光辉日本矿业)》是一部于195...

想象一下,当你前往月球时才发现自己对月球过敏。有一位宇航员就曾经历过。

本周你学到的最奇怪的事情是什么?好吧,不管是什么,我们保证如果你听PopSci的热门播客,你会得到一...

丢失的货物可能会毁掉数千英里外的海滩

每年有数亿个集装箱在海洋中穿梭,但并不是所有集装箱都能到达最终目的地。数百甚至数千个集装箱在海上丢失...

观察一只木蚁为了挽救生命,咬掉另一只受伤的腿

人类并不是唯一会试图治愈伤口甚至进行截肢的动物。一些木蚁似乎会通过清理伤口或截肢来治疗它们的巢穴同伴...

7 个最重要的健身追踪器测量值

2015 年初,苹果将发布自 2010 年以来的首款重要产品——一款名为 Apple Watch 的...

如何设置 F-Droid(Google Play Store 的开源替代品)

浏览应用商店可能会让人感到沮丧。每当你寻找一个简单的工具来调吉他​​或提醒自己给植物浇水时,搜索结果...

我们有生命!科学家证实南极冰川下有微生物

在寻找地球上最冷、最深的生命形式的竞赛中,一支团队已领先并证明他们已经发现了生命。科学家们首次通过多...