Недостаток SUPRA Smart TV позволяет злоумышленникам захватывать экраны

Недостаток SUPRA Smart TV позволяет злоумышленникам захватывать экраны

Увы, «умные» устройства на сегодня одна из самых беспомощных и дырявых технологий если говорить о защите конфиденциальности и безопасности пользователей. Тому есть масса примеров. Соответственно, все больше и больше «умных» устройств продается по всему миру. Потребители должны осознавать риски безопасности и конфиденциальности, связанные с так называемыми интеллектуальными устройствами.

Одно из подобных устройств, с которым многие из нас взаимодействуют практически ежедневно – это «умные» телевизоры, предоставляющие потребителям множество возможностей для просмотра потокового видео, просмотра фильмов через Интернет, игр и сохранения файлов в облаке, что превращает телевизор в некоторое подобие полноценного ПК.

Вместе с тем, это привело к тому, что теперь можно использовать Smart TV чтобы шпионить за конечными пользователями , естественно, без их явного согласия, не имея физического доступа к устройству. Сегодня же недостатки в Smart TV позволили хакерам захватывать экран телевизора.

Совсем недавно Smart TV, продаваемые под торговой маркой SUPRA, были признаны подверженными уязвимости, связанной с удаленным включением файлов. Данная уязвимость позволяет злоумышленникам транслировать через WiFi поддельные видеоролики на экран телевизора без какой-либо аутентификации.

SUPRA — малоизвестный российский бренд электроники в Интернете, который производит несколько недорогих аудио-видео устройств, бытовой техники и автомобильной электроники, большинство из которых распространяются через российские, китайские и ОАЭ-сайты электронной коммерции.

Обнаруженная Dhiraj Mishra   и переданная в The Hacker News, эта уязвимость ( CVE-2019-12477) находится в функции openLiveURL Supra Smart Cloud TV. Она возможна из-за отсутствия аутентификации и управления сеансами.

Как показано в PoC URL, эта уязвимость может позволить локальному злоумышленнику внедрить удаленный файл в трансляцию и отобразить поддельные видео без какой-либо аутентификации.

«Законный пользователь смотрит какой-нибудь боевик, и злоумышленники одновременно запускают уязвимость удаленного включения файлов, поэтому злоумышленник может полностью контролировать телевизор и может транслировать все, что угодно», — объясняет исследователь.

Как продемонстрировал Дирай, эксплойт позволил ему транслировать фальшивую «Чрезвычайную тревогу», когда телевизор воспроизводил речь Стива Джобса, просто вставляя видеофайл через URL-адрес PoC с помощью своего веб-браузера.

Хотя требование наличия у злоумышленников доступа к сети WiFi жертвы по умолчанию ограничивает угрозу в значительной степени, растущее число уязвимостей маршрутизатора и IoT по-прежнему делает его потенциальным сценарием атаки.

Хотя уязвимости был присвоен идентификатор CVE, ее вряд ли можно будет исправить. Таким образом, пользователи, которые владеют Supra Smart Cloud TV, не могут сделать ничего, кроме обеспечения безопасности своей сети Wi-Fi — например, установки надежного пароля, предотвращения передачи пароля WiFi ненадежным людям и хранения других так называемых интеллектуальных устройств за брандмауэром или за пределами Интернета. которые подключены к той же сети.

Alt text

Владимир Безмалый

О безопасности и не только