最近，Positive Technologies 的安全研究员公布了缔奇 360 智能扫地机器人的两大漏洞，通过它们黑客能拿下超级用户权限在设备上运行恶意代码，完全控制设备。
“与其他物联网设备一样，这些扫地机器人受到攻击后会‘认贼作父’，并成为黑客搭建的僵尸网络中的一个个节点，帮他们发动DDos 攻击。”Positive Technologies 网络安全部门主管Leigh-Anne Galloway 解释道。
不过，玩这种手法的黑客只能算菜鸟，进阶版是由于缔奇扫地机器人能连接Wi-Fi 且搭载了夜视摄像头，可使用智能手机控制其运行轨迹，因此黑客可以通过它秘密监视屋主。
在家私密的一举一动都会被有心人偷窥，甚至传播到网上，想想就可怕。
这两个神秘漏洞是 CVE-2018-10987 和 CVE-2018-10988。其中，第一个漏洞可以被远程利用，而第二个则需要黑客对设备进行物理访问。
虽说想利用第一个Bug 黑客首先得经过身份验证，但Positive Technologies 表示，所有缔奇360 设备的管理员账户都使用了888888 这样简单的默认密码，而知道要修改默认密码的用户只是极少数，因此黑客简直是如入无人之境。
经过身份验证的黑客能发送一个专门打造的 UDP 数据包，从而在扫地机器人上执行指令。这个 Bug 出现在 REQUEST_SET_WIFIPASSWD 功能上（UDP 指令153）。黑客的UDP 数据包会运行 /mnt/skyeye/mode_switch.sh %s，而他们对 %s 的变量拥有裁量权。
第二个漏洞虽然需要黑客对设备进行物理访问，但只要将一张 microSD 卡插入扫地机器人并将设备固件替换成恶意版本就能利用。
扫地机器人的固件中自带固件升级进程，它会在 microSD 卡的根目录中寻找升级包。一旦找到“升级包”，它就会执行代码，没有数字签名也照做不误。
另外，Positive Technologies 警告称这两个漏洞可能还会影响缔奇公司旗下使用了这套脆弱代码的其他设备，也就是说，缔奇的数字录像机、监控摄像头和智能门铃恐怕也难逃黑客黑手。
所以，这两个漏洞已经被修复了吗？
并没有，据说发现漏洞后，Positive Technologies 就通知了缔奇公司，还给了它们不少时间来修补漏洞。未收到回应的 Positive Technologies 随后向有关部门正式提交了这两个漏洞，今年5月它们还在 PHDays 安全论坛上谈到了这两个漏洞发现。
不过到现在为止，Positive Technologies 都不知道这两个漏洞是否已经被修复了。
当然，截止文章发表前，缔奇的发言人都没有回应关于漏洞修补的提问。
事实上这并非安全研究人员首次在扫地机器人固件中发现Bug 了，黑客的目的无一例外都是控制设备并监视屋主。此前，Check Point 的研究人员还在LG 智能家居设备中发现过类似的Bug。去年，Check Point 甚至通过一个视频展示了如何控制扫地机器人并对屋主进行监控。
可惜的是， 厂商面对漏洞的反应总是“很慢”。
免责声明：本网站内容主要来自原创、合作伙伴供稿和第三方自媒体作者投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。任何单位或个人认为本网站中的网页或链接内容可能涉嫌侵犯其知识产权或存在不实内容时，应及时向本网站提出书面权利通知或不实情况说明，并提供身份证明、权属证明及详细侵权或不实情况证明。本网站在收到上述法律文件后，将会依法尽快联系相关文章源头核实，沟通删除相关内容或断开相关链接。
