13 февраля 2019
По информации, опубликованной группой Zimperium zLabs, занимающейся вопросами безопасности, электрический самокат Xiaomi M365, используемый во многих странах мира для городского проката, имеет уязвимость, позволяющую хакерам получить полный дистанционный контроль над транспортным средством, в том числе заставить самокат внезапно ускоряться или тормозить. Причиной исследователи называют процесс авторизации, который осуществляется по Bluetooth.
«В ходе нашего исследования мы определили, что пароль не используется должным образом как часть процесса идентификации на скутере и что все команды могут выполняться без пароля. Последний проверяется только на стороне приложения, но сам скутер не отслеживает состояние аутентификации», — говорится в заявлении Zimperium zLabs.
Исследователи утверждают, что им удалось взаимодействовать с противоугонной системой, круиз-контролем и экономным режимом скутера, а также обновлять его прошивку без запроса авторизации. Без дополнительных усилителей сигнала процедура взлома будет работать в радиусе распространения сигнала Bluetooth, то есть до 100 метров.
Zimperium zLabs опубликовала видео, демонстрирующее, как хакер создаёт опасную ситуацию, удалённо отключая скутер на пешеходном переходе посредством встроенной противоугонной функции.
Можно использовать следующие сценарии атаки:
Исследователи предусмотрительно опубликовали исходный код программы, использующей только первый сценарий атаки github.com.
Выявленная уязвимость заставит компании немедленно прекратить использование скутеров Xiaomi M365 в своих арендных службах. Этот вид транспорта и без того вызывал большие дискуссии, получая всё большее распространение в городах. Регуляторы спешат составить правила использования нового вида транспорта. Некоторым нравится перемещаться на скутерах по перегруженным городам. Но пешеходы жалуются, что многочисленные ездоки подвергают их опасности, игнорируют правила дорожного движения, ездят по тротуарам и оставляют скутеры где им захочется.
Примечательно, что это не первый случай в своём роде. Почти идентичная ситуация произошла в 2017 году, когда исследовательская компания IOActive обнаружила, что может получить полный удаленный доступ к гироскейту Segway и отправлять ему команды из приложения Segway через Bluetooth-обновления без необходимости авторизации.
Хочешь узнать больше - читай отзывы
← Вернуться на предыдущую страницу
У TikTok з'явилися шанси залишитися в США і тепер до цього причетний Ілон Маск 25 ноября 2024
У TikTok з'явилися шанси залишитися в США і тепер до цього причетний Ілон Маск
У запущених по Україні ракетах КНДР виявили деталі зі США та Європи - ЗМІ 25 ноября 2024
В одній з ракет 75% компонентів були виготовлені компаніями, які базуються в США. Також знаходили деталі з Нідерландів і Великої Британії.
Протиповітряну оборону Києва посилено - ЗМІ 25 ноября 2024
Протиповітряну оборону Києва посилено - ЗМІ