Уязвимость на сайте GoPro может раскрыть конфиденциальные данные пользователей

На официальном web-сайте экшн-камеры GoPro была обнаружена уязвимость, позволяющая раскрыть названия и пароли беспроводных сетей владельцев популярного устройства. Об этом сообщает исследователь безопасности Илья Черняков в блоге Secure Or Not.

Уязвимость связана с механизмом восстановления пароля через обновление прошивки камеры. Сама по себе процедура достаточно проста, и по ее окончанию пользователь получает ссылку на ZIP-архив, который нужно загрузить на SD-карту, вставить ее в камеру и перезагрузить устройство.

Проблема заключается в двух моментах. Первый – содержащий настройки камеры файл settings.in в архиве включает в себя имя и пароль беспроводной сети пользователя в текстовом формате. Второй – ссылка на загрузку ZIP-архива выглядит следующим образом:

http://cbcdn2.gp-static.com/uploads/firmware-bundles/firmware_bundle/1234567/UPDATE.zip

, где 1234567 – уникальный сериальный номер, связанный с конкретной камерой. Поскольку для загрузки архива не требуется проходить аутентификацию, злоумышленник может с помощью элементарного брутфорса получить вышеуказанные данные, включая логины и пароли беспроводных сетей. Таким образом, сочетание этих двух уязвимостей позволяет удаленному пользователю раскрыть важную информацию о пользователе.

Черняков сообщил об уязвимости администраторам компании, но пока не получил от них ответа.