- 28,391
- 46
- 8 Ноя 2022
Уязвимость в облачной системе SharkNinja позволяет удаленно управлять роботами-пылесосами Shark.
<div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/675;margin-bottom:2rem;overflow:hidden">
<div itemprop="articleBody">Роботы-пылесосы давно ездят по домам без присмотра, но у некоторых моделей Shark вместе с уборкой открылся и незаметный путь для посторонних. Специалист по безопасности обнаружил критическую уязвимость , которая позволяет через интернет выполнять команды на устройствах, управлять их движением и получать доступ к собранным данным.
Проблема связана с облачной системой SharkNinja, через которую пылесосы обмениваются сообщениями с серверами Amazon. Каждый аппарат использует собственный сертификат и закрытый ключ, однако для части устройств права доступа настроили неправильно. Сертификат одного пылесоса позволял подписываться на сообщения других аппаратов и отправлять им команды.
Во время проверки специалист обнаружил в программном обеспечении функцию Exec_Command. Пылесос принимал полученную из облака строку и передавал её системной оболочке без достаточной проверки. В результате владелец одного уязвимого устройства мог выполнить произвольный код на другом пылесосе, зная лишь его серийный номер.
Специалист подтвердил атаку на двух принадлежащих ему моделях Shark, RV2320EDUS и AV1102ARUS. Сертификат первого устройства позволил отправить команду второму и запустить на нём сторонний файл. Проверка также показала, что уязвимость работает на разных моделях.
Последствия не ограничиваются запуском и остановкой уборки. Некоторые пылесосы оснащены камерой и хранят карту помещения, пароль от домашней сети Wi-Fi в открытом виде и другие служебные данные. Автор проверки смог получать изображение с камеры, дистанционно управлять моторами и перемещать устройство по дому.
За сутки наблюдения за облачным узлом специалист зафиксировал более 1,5 млн уникальных устройств. Не менее 673 816 из них отправляли ответы, подтверждающие поддержку опасной команды. Полученный результат относится только к одному региону Amazon, поэтому общее число уязвимых аппаратов может быть значительно выше.
При этом настройки различаются от модели к модели. Сертификат AV1102ARUS не позволял просматривать чужие сообщения, тогда как более новая прошивка RV2320EDUS получила чрезмерно широкие права. По мнению автора проверки, ошибочная политика доступа появилась позднее и распространилась на большую часть подключённых устройств Shark .
О проблеме сообщили SharkNinja в марте 2026 года. Компания подтвердила, что получила материалы, но спустя более четырёх месяцев не выпустила исправление и не назвала точную дату его выхода. Специалист также обратился в MITRE, чтобы зарегистрировать уязвимость, однако идентификатор CVE пока не присвоен. Технические программы для проведения атаки автор публиковать не стал, поскольку уязвимость остаётся открытой.
<div class="articl-text-cover" style="position:relative;width:100%;max-width:800px;margin-left:auto;margin-right:auto;aspect-ratio:1200/675;margin-bottom:2rem;overflow:hidden">
<div itemprop="articleBody">Роботы-пылесосы давно ездят по домам без присмотра, но у некоторых моделей Shark вместе с уборкой открылся и незаметный путь для посторонних. Специалист по безопасности обнаружил критическую уязвимость , которая позволяет через интернет выполнять команды на устройствах, управлять их движением и получать доступ к собранным данным.
Проблема связана с облачной системой SharkNinja, через которую пылесосы обмениваются сообщениями с серверами Amazon. Каждый аппарат использует собственный сертификат и закрытый ключ, однако для части устройств права доступа настроили неправильно. Сертификат одного пылесоса позволял подписываться на сообщения других аппаратов и отправлять им команды.
Во время проверки специалист обнаружил в программном обеспечении функцию Exec_Command. Пылесос принимал полученную из облака строку и передавал её системной оболочке без достаточной проверки. В результате владелец одного уязвимого устройства мог выполнить произвольный код на другом пылесосе, зная лишь его серийный номер.
Специалист подтвердил атаку на двух принадлежащих ему моделях Shark, RV2320EDUS и AV1102ARUS. Сертификат первого устройства позволил отправить команду второму и запустить на нём сторонний файл. Проверка также показала, что уязвимость работает на разных моделях.
Последствия не ограничиваются запуском и остановкой уборки. Некоторые пылесосы оснащены камерой и хранят карту помещения, пароль от домашней сети Wi-Fi в открытом виде и другие служебные данные. Автор проверки смог получать изображение с камеры, дистанционно управлять моторами и перемещать устройство по дому.
За сутки наблюдения за облачным узлом специалист зафиксировал более 1,5 млн уникальных устройств. Не менее 673 816 из них отправляли ответы, подтверждающие поддержку опасной команды. Полученный результат относится только к одному региону Amazon, поэтому общее число уязвимых аппаратов может быть значительно выше.
При этом настройки различаются от модели к модели. Сертификат AV1102ARUS не позволял просматривать чужие сообщения, тогда как более новая прошивка RV2320EDUS получила чрезмерно широкие права. По мнению автора проверки, ошибочная политика доступа появилась позднее и распространилась на большую часть подключённых устройств Shark .
О проблеме сообщили SharkNinja в марте 2026 года. Компания подтвердила, что получила материалы, но спустя более четырёх месяцев не выпустила исправление и не назвала точную дату его выхода. Специалист также обратился в MITRE, чтобы зарегистрировать уязвимость, однако идентификатор CVE пока не присвоен. Технические программы для проведения атаки автор публиковать не стал, поскольку уязвимость остаётся открытой.
- Источник новости
- www.securitylab.ru
