Уязвимость в роботах-пылесосах SharkNinja открыла доступ к сетям

Проблема кроется в некорректной настройке правил доступа AWS IoT. Изучив модель Shark RV2320EDUS, эксперт обнаружил, что сертификат устройства не ограничен рамками одного аппарата и позволяет взаимодействовать с любыми пылесосами Shark в том же облачном регионе. Хотя для первичного взлома злоумышленнику требуется физический доступ к консоли отладки, все последующие команды передаются удаленно.

Последствия для пользователей серьезны: атакующий может активировать камеру пылесоса для скрытой съемки, выгрузить карту планировки дома или перехватить пароль от Wi-Fi, который хранится в памяти устройства в открытом виде. В ходе проверки tokay0 за сутки обнаружил более 1,5 млн активных серийных номеров, из которых почти половина — 673,8 тыс. устройств — откликнулись на тестовые запросы, подтверждая возможность удаленного управления.

Поскольку уязвимость связана с архитектурой облака, а не с программным обеспечением самих пылесосов, пользователи лишены возможности самостоятельно закрыть «дыру». Компания SharkNinja была проинформирована об угрозе еще полгода назад, но до сих пор не выпустила необходимое обновление. Единственный способ защитить приватность — временно отключить устройство от сети или полностью деактивировать функции удаленного доступа.