搜索

[5112] 2018-05-09_罗技HarmonyHub被曝多个漏洞，影响智能家居产品

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2018-05-09_罗技HarmonyHub被曝多个漏洞，影响智能家居产品 罗 技 H a r m o n y   H u b 被 曝 多 个 漏 洞 ， 影 响 智 能 家 居 产 品 原 创   E 安 全   E 安 全   2 0 1 8 - 0 5 - 0 9 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 5 月 9 日 讯   火 眼 （ F i r e E y e ） 近 日 披 露 ， 罗 技   H a r m o n y   H u b   智 能 家 居 控 制 系 统 存 在 多 个 漏 洞 ， 该 厂 商 已 经 发 布 固 件 更 新 修 复 漏 洞 。 这 些 漏 洞 包 括 ： ​ 不 正 确 的 证 书 验 证 ； ​ 不 安 全 的 更 新 过 程 ； ​ 开 发 者 固 件 镜 像 生 成 中 留 下 调 试 信 息 ； ​ R o o t   用 户 密 码 为 空 。 攻 击 者 可 结 合 利 用 这 四 种 漏 洞 ， 通 过   S S H   获 取 设 备 的   R o o t   权 限 。 H a r m o n y   H u b 罗 技   H a r m o n y   H u b   为 用 户 提 供 智 能 家 居 远 程 控 制 体 验 ， 用 户 可 通 过   A n d r i o d   或   i O S   手 机 或 平 板 电 脑 控 制 智 能 家 居 设 备 。 一 旦 通 过 蓝 牙 完 成 初 始 配 对 后 ， H a r m o n y   应 用 程 序 就 会 使 用 基 于   H T T P   的   A P I   与   H a r m o n y   H u b   通 信 。 H a r m o n y   H u b   基 本 上 是 H a r m o n y   L i n k   的 智 能 升 级 版 。 H a r m o n y   H u b   不 仅 可 以 作 为 娱 乐 操 控 的 中 心 ， 也 能 够 借 助 其 他 设 备 来 控 制 普 通 或 智 能 灯 泡 。
H a r m o n y   L i n k 硬 件 产 品 ， 是 罗 技 2 0 1 1 年 推 出 的 一 款 遥 控 产 品 ， 可 放 置 在 娱 乐 系 统 旁 ， 通 过 本 地   W i F i   网 络 为 遥 控 器 和 娱 乐 设 备 远 程 遥 控 。 该 产 品 与 配 套   i O S / 安 卓 应 用 ， 可 以 将 智 能 手 机 和 平 板 电 脑 变 成 通 用 遥 控 器 。 H a r m o n y   L i n k   预 制 5 0 0 0 种 红 外 编 码 可 供 操 作 市 面 上 大 部 分 电 器 ， 最 多 可 代 替 八 个 遥 控 器 。 2 0 1 7 年 1 1 月 ， 罗 技 突 然 宣 布 在 2 0 1 8 年 3 月 终 止   H a r m o n y   L i n k   系 统 的 产 品 服 务 和 支 持 。 研 究 人 员 发 现 ， 攻 击 者 可 利 用 这 些 漏 洞 访 问 本 地 网 络 控 制 连 接 到 攻 击 者 可 利 用 这 些 漏 洞 访 问 本 地 网 络 控 制 连 接 到   H u b   的 设 备 ， 并 攻 击 网 络 上 的 其 它 设 备 的 设 备 ， 并 攻 击 网 络 上 的 其 它 设 备 。 考 虑 到 有 些 用 户 使 用   H a r m o n y   H u b   控 制 智 能 门 锁 和 恒 温 器 等 多 个 智 能 家 居 设 备 ， 这 些 漏 洞 可 能 会 带 来 严 重 的 安 全 风 险 。 其 中 一 个 漏 洞 与 固 件 镜 像 生 成 过 程 中 的 调 试 详 细 信 息 有 关 。 另 一 个 漏 洞 是 固 件 更 新 期 间 未 正 确 验 证   S S L   证 书 漏 洞 。 固 件 更 新 过 程 本 身 不 安 全 ， 攻 击 者 可 借 由 将 恶 意 更 新 传 送 至 设 备 。 由 于   H u b   上 未 配 置   R o o t   密 码 ， 攻 击 者 一 旦 能 以 某 种 方 式 设 法 启 用   D r o p b e a r   S S H   服 务 器 ， 便 可 通 过   S S H   获 取   R o o t   访 问 权 限 。 值 得 指 出 的 是 ， 攻 击 者 可 利 用   S S L   证 书 验 证 漏 洞 上 传 特 制 固 件 ， 从 而 启 用   D r o p b e a r   S S H   服 务 器 。 受 影 响 的 产 品 受 影 响 的 产 品 F i r e E y e   指 出 ， 这 些 漏 洞 影 响 了 基 于   H a r m o n y   H u b   的 产 品 ： H a r m o n y   E l i t e ； H o m e   H u b ； U l t i m a t e   H u b ；
H o m e   C o n t r o l ； P r o ； S m a r t   C o n t r o l ； C o m p a n i o n ； S m a r t   K e y b o a r d ； U l t i m a t e ； U l t i m a t e   H o m e ； H a r m o n y   H u b 。 漏 洞 已 修 复 漏 洞 已 修 复 罗 技 公 司 于   2 0 1 8 年 1 月 底 收 到 漏 洞 通 知 ， 并 于 2 0 1 8 年 4 月 1 0 日 发 布 了 固 件 版 本 4 . 1 5 . 9 6 修 复 这 些 漏 洞 ， 罗 技 公 司 已 提 供 完 整 的 指 南 并 建 议 用 户 尽 快 安 装 更 新 。 H a r m o n y   H u b   与 其 它 物 联 网 设 备 一 样 ， 使 用 的 是 通 用 处 理 器 架 构 ， 攻 击 者 可 利 用 这 一 点 将 恶 意 工 具 添 加 到 被 攻 击 的   H a r m o n y H u b 当 中 ， 从 而 增 加 攻 击 的 整 体 影 响 力 。 技 术 不 断 融 入 人 们 的 日 常 生 活 ， 各 种 设 备 给 我 们 带 来 便 利 的 同 时 也 存 在 一 定 的 安 全 风 险 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 8 4 2 9 9 4 5 0 3 . s h t m l 推 荐 阅 读 ： 哪 些 智 能 家 居 产 品 最 易 遭 受 入 侵 ？ 思 科 I O S 漏 洞 影 响 R o c k w e l l 多 款 工 业 交 换 机 M o x a 工 业 路 由 器 曝 1 7 项 漏 洞 ： 多 项 高 危 美 国 2 0 1 8 “ 网 络 风 暴 ” 演 习 ： 关 注 漏 洞 披 露 L i n u x   B e e p 曝 提 权 漏 洞 ， 黑 客 可 窥 探 用 户 敏 感 文 件 警 报 ！ 黑 客 正 通 过 入 侵 企 业 系 统 攻 击 工 业 网 络 美 网 络 司 令 部 升 级 ， 日 裔 陆 军 上 将 任 新 司 令
▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理