这些 WiFi 车库门存在重大网络漏洞

这些 WiFi 车库门存在重大网络漏洞

如果您有 Nexx 品牌的 WiFi 车库门开启器,现在正是卸载它的好时机。一位安全研究人员发现了许多漏洞,这些漏洞允许世界各地的黑客远程打开任何配备 Nexx 的车库门,并在 Medium 上的一篇博客文章中详细介绍了这一点。最糟糕的是,该公司没有尝试修复问题。

Motherboard率先报道了这一消息,安全研究员 Sam Sabetan 在进行独立安全研究时发现了 Nexx 智能设备产品线中存在严重漏洞。尽管他也发现了 Nexx 智能警报器和插头中的漏洞,但 WiFi 连接的智能车库门开启器才是最大的问题。

Sabetan 解释道,当用户使用 Nexx Home 移动应用设置新的 Nexx 设备时,它会从 Nexx 云服务收到一个密码——据说是为了使用名为 MQTT(消息队列遥测传输)的轻量级消息协议在设备与 Nexx 的在线服务之间进行安全通信。MQTT 使用一种称为发布-订阅模型的通信框架,这使其能够在不稳定的网络和资源受限的设备上工作,但也带来了额外的安全问题。

当有人使用 Nexx 应用程序打开车库门时,该应用程序不会直接与开门器通信。相反,它会向 Nexx 的 MQTT 服务器发送一条消息。车库门开启器订阅了服务器,当它看到相关消息时,就会打开门。这可以实现可靠的性能,并且意味着您的智能手机不必与车库门开启器位于同一网络上,但至关重要的是,使用该服务的每个设备都必须有一个安全、唯一的密码。

但事实并非如此。Sabetan 发现,所有 Nexx 车库门控制器和智能插头的密码都完全相同。

在一段演示黑客攻击的视频中,Sabetan 展示了他如何通过拦截 Nexx 智能车库门开启器与 MQTT 服务器的通信来获取通用密码。然后,Sabetan 能够使用拦截到的凭据登录服务器,并查看数百名 Nexx 客户的设备发布的消息。这些消息还透露了电子邮件地址、设备 ID 和帐户持有人的姓名。

更糟糕的是,Sabetan 能够重放他的设备向服务器发送的打开车库门的消息。虽然他没有这样做,但他本可以使用同样的技术打开世界上任何 Nexx 用户的车库门。(他也可以打开或关闭他们的智能插头,这虽然很烦人,但危险性不大。)

由于 Nexx ID 与电子邮件地址绑定,此漏洞可能允许黑客针对特定 Nexx 用户,或随意打开车库门。而且由于通用密码直接嵌入设备中,用户无法更改密码或以其他方式保护自己。

Sabetan 估计受影响的 Nexx 设备超过 40,000 台,他确定有超过 20,000 人拥有活跃的 Nexx 账户。如果你是其中之一,你唯一能做的就是拔掉你的 Nexx 设备并向该公司开具支持单。

尽管这些都令人震惊,但 Nexx 的迟迟没有回应让情况更加糟糕。Sabetan 于 1 月初首次就该漏洞联系了 Nexx 支持部门。尽管多次跟进,但该公司仍忽略了他的报告,只是回应了一个不相关的支持问题。2 月,Sabetan 联系了美国网络安全和基础设施安全局 (CISA) 报告了漏洞,但 CISA 甚至没有得到 Nexx 的回复。最后, Motherboard在公开披露漏洞之前尝试联系 Nexx——当然,没有收到任何回复。

现在,CISA 已发布关于这些漏洞的公开咨询通知,Sabetan 和Motherboard也对这些漏洞进行了详细描述。这意味着黑客利用 Nexx 车库门开启器、智能插头或智能警报器所需的一切都已暴露。因此,如果您拥有这些设备之一,请立即拔掉插头。

<<:  两款戒酒应用在未经用户同意的情况下共享用户数据

>>:  听起来像人工智能聊天机器人可能会损害你的信誉

推荐阅读

空军希望你了解其秘密机器人航天器 X-37B

美国空军拥有一款名为 X-37B 的秘密太空机器人。我们之所以知道这一点,是因为美国空军对 X-37...

阿倍桥魔法商店街的魅力与口碑:透彻解析独特的世界观与角色魅力

阿倍野桥魔法商店街:走进另一个世界,感受大阪的灵魂2002年播出的《阿倍桥魔法商店街》是GAINAX...

DJI Air 2S 无人机:售价不到 1,000 美元的专业级航拍相机

去年,大疆发布了 Air 2 无人机。它介于 Mavic Mini 和更先进(且更昂贵)的 Mavi...

人类与自然共同治愈的五大著名环境灾难

自工业革命以来的短短几年间,人类事业已变成灾难,导致物种灭绝、核泄漏,并改变了维持地球气候稳定超过一...

视频:史上最聪明的狗能根据名字选出 1022 个玩具

我敢打赌你的圣诞小狗做不到这一点。事实上,你最好希望它做不到,因为你的狗玩具需求可能会让你倾家荡产。...

帅气又可爱的宣言!对其吸引力和评论的深入分析

又酷又可爱! - 深入的评论和全面的信息概述“Kakko Kawaii宣言!”是改编自地狱三泽原作漫...

使用此植物识别和护理应用程序成为更好的植物家长

过去几年,成千上万的人选择养育植物,即使被困在室内,也能与大自然亲密接触。照料树叶也是人们缓解压力和...

《和人物语》的魅力与评价:千万不能错过!

《风神物语》的魅力与评价介绍2004年至2005年播出的电视动画《和人物语》以其独特的世界观和美丽...

天降之物大结局:我的永恒鸟笼——感人的结局及其评论

《天降之物最终章:我的永远的鸟笼》——宏大的故事和感人的结局《天降之物最终章:永远的我的主人》是一部...

Windows 11 即将登陆你的 PC,同时还将带来 Android 应用

以前,更新 Windows 版本的过程截然不同。早在 90 年代,当厚重的米色显示器在大地上自由漫游...

新型夜视镜提供高分辨率和双倍视野

SA Photonics(一家夜视镜制造商)表示,夜视镜是让美国军方“掌控黑夜”的“关键技术”。SA...

妈妈的耳环:动人的故事和优美的旋律的融合

妈妈的耳环-大家的歌曲杰作《妈妈的耳环》是1990年10月在NHK教育电视台(现NHK E-Tele...

《NORA》的魅力与评价:描绘街头文化的动画的深度

NORA综合评估与推荐概述1985年1月21日发售的原作动画(OVA)作品《NORA》是一部具有原创...

这个免费工具可以揭示任何互联网域名背后的人

如果您想要知道某个网站的所有者、网站使用年限,甚至想联系运营该网站的个人或公司,在 Google 中...

《Double J》的魅力与评价:必看的动画

“双J”——这部短篇动画的魅力和世界观《Double J》是一部短篇动画系列,于 2011 年播出,...