Bir güvenlik araştırmacısı, SharkNinja markasına ait Shark robot süpürgelerde kritik bir güvenlik açığı keşfetti. tokay0 rumuzlu araştırmacı, Shark RV2320EDUS modelindeki bir sertifikayı cihazın flash belleğinden çekerek, aynı AWS bölgesindeki diğer Shark süpürgelerde root komutları çalıştırabildiğini gösterdi. Bu sayede kamera görüntülerini izlemek, süpürgeyi hareket ettirmek, evin haritasını okumak ve Wi-Fi şifresini düz metin olarak almak mümkün hale geliyor. Araştırmacı, yöntemi 13 Temmuz'da yayınladı ve açığın hala yamalanmadığını belirtti.
Açığın temelinde, Shark cihazlarına ait sertifikaların AWS IoT broker'ına sunulduğunda herhangi bir kapsam denetimine tabi tutulmaması yatıyor. Sertifika, hangi cihaza ait olursa olsun, broker tarafından kabul ediliyor ve bu sayede saldırgan, aynı bölgedeki tüm Shark cihazlarına mesaj gönderebiliyor. Araştırmacı, RV2320EDUS modelinden aldığı sertifikayı kullanarak $aws/things/# konusuna abone oldu ve broker üzerinden geçen trafiği izleyerek seri numaralarını topladı. Ardından, cihaz gölgesindeki Exec_Command alanını kullanarak komut gönderdi ve bu komut, hedef cihazda appd yönetim servisi tarafından execute_command fonksiyonuyla çalıştırıldı.
Araştırmacı, açığın yalnızca aynı modelle sınırlı olmadığını kanıtladı. AV1102ARUS modeline bir ters shell yerleştirerek, bu shell üzerinden robotun kamerasından canlı görüntü almayı başardı. Sertifikanın çıkarılması için yalnızca bir tornavida yeterli; anakarttaki UART pinleri ve U-Boot konsolu şifre korumasız olduğu için root shell'e erişmek mümkün. Sertifika ve anahtar dosyaları /mnt/res/vapp/certs/ dizininde düz metin olarak bulunuyor.
Sistem Güvenliği
AWS, bu tür politika hatalarını tespit etmek için Device Defender hizmetinde IOT_POLICY_OVERLY_PERMISSIVE_CHECK denetimini sunuyor. Bu denetim, cihaz politikalarının ${iot:Connection.Thing.ThingName} ile sınırlandırılmaması durumunda kritik uyarı veriyor. AWS dokümantasyonu, bu tür bir politika taşıyan sertifikanın ele geçirilmesi durumunda saldırganın tüm cihazların gölgelerini, işlerini ve iş yürütmelerini okuyup değiştirebileceğini belirtiyor. Araştırmacı, 24 saatlik bir gözlemde 1,5 milyondan fazla benzersiz Shark seri numarası tespit etti ve bunların %44'ünün Exec_Response gönderdiğini, yani komut işleyicisini çalıştırdığını doğruladı.
Nasıl Önlem Alınmalı?
Araştırmacı, SharkNinja ile 1 Mart'ta iletişime geçtiğini ve detayları 11 Mart'ta gönderdiğini belirtiyor. Şirket, 27 Nisan'da raporun incelendiğini, 3 Temmuz'da ise 10 Temmuz'a kadar kesin tamamlanma tarihi bildireceğini söylemiş ancak bu tarihte bir yanıt gelmemiş. Araştırmacı, 13 Temmuz'da açığı yayınladı. SharkNinja'nın henüz bir güvenlik bülteni yayınlamadığı ve CVE numarası alınmadığı belirtiliyor. Araştırmacı, MITRE'a başvurmuş ancak henüz bir yanıt alamamış.
Açığın kalıcı çözümü, kullanıcı tarafından uygulanamıyor; SharkNinja'nın AWS hesabında yapılacak politika değişikliği gerekiyor. AWS'nin önerdiği düzeltme, CreatePolicyVersion ile kapsamlı bir politika oluşturup setAsDefault bayrağıyla mevcut sertifikalara uygulamak. Bu sayede firmware güncellemesi gerekmeden tüm cihazlar korunabilir. Araştırmacı, Mart ayında sertifikaların yeniden düzenlenmesini önermişti. Şu an için kullanıcıların tek korunma yöntemi, süpürgeyi Wi-Fi'dan ayırmak; bu da uygulama kontrolü, zamanlama ve harita özelliklerini devre dışı bırakıyor. Araştırmacı, SharkNinja'nın akıllı ızgaralar ve kablosuz et probları gibi diğer bağlı ürünlerinin de benzer açıklara sahip olabileceğini belirtiyor.
Kaynak: thehackernews.com
