Баг в софте для стиральных машин позволяет бесплатно постирать в прачечной

Баг в софте для стиральных машин позволяет бесплатно постирать в прачечной

Баг в софте для стиральных машин позволяет бесплатно постирать в прачечной

Уязвимость в системе безопасности стиральных машин CSC ServiceWorks обнаружили два студента из университета Калифорнии. Баг позволяет проводить неограниченное количество бесплатных циклов стирки.

Студенты Александр Шербрук и Яков Тараненко рассказали, что с помощью этой уязвимости любой может посылать удалённые команды стиральным машинам.

Этот баг кроется в API, которое использует мобильное приложение CSC Go. Софт можно обманом заставить принимать команды, поскольку «проверки безопасности выполняются приложением на устройстве пользователя и автоматически доверяются серверам CSC».

Шербрук обнаружил уязвимость, когда ему удалось подсунуть скрипт с инструкциями для машины по запуску цикла. На тот момент на его счету было 0 долларов. Студенты удивились, когда машина загорелась, ожидая нажатия на кнопку «старт» для запуска стирки.

Затем молодые хакеры пополнили свои счета в прачечной на несколько миллионов долларов, а приложение это допустило.

В январе этого года Шербрук и Тараненко связались с компанией CSC ServiceWorks и сообщили об уязвимости через контактную форму на веб-сайте, но не получили ответа. Дозвониться до представителей им также не удалось. Студенты обратились за помощью в Координационный центр CERT Университета Карнеги-Меллона, чтобы связаться с поставщиком, но тот «даже не зашел на портал CERT, чтобы просмотреть сообщение».

Спустя три месяца (обычно столько исследователи предоставляют поставщикам на исправление уязвимостей) студенты сообщили миру о своей находке. Компания CSC удалила баланс их многомиллионного счета, но баг до сих пор не устранила.

20 мая Шербрук и Тараненко опубликовали в блоге Slug Security пост с техническими подробностями своего открытия.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Security Vision 5: новые функции автоматизации и расширенная аналитика

Вышла новая версия Security Vision 5. Обновление затронуло сразу несколько направлений: автоматизацию рабочих процессов, настройку интеграций, аналитику и интерфейс. Изменения упрощают работу специалистов и позволяют быстрее настраивать нужные сценарии.

Автоматизация процессов

Теперь можно запускать вычисляемый рабочий процесс прямо из карточки объекта или графа.

При этом нужный сценарий выбирается автоматически — в зависимости от входных параметров. В графе допускается выбор рабочих процессов из разных источников: свойств объекта или справочника, переменных и фильтров. Это помогает сократить количество шаблонов и быстрее настраивать сценарии.

Библиотека параметров

Добавлена единая библиотека параметров, доступная во всех рабочих процессах. Поддерживается динамическое переопределение входных данных из разных источников, что уменьшает количество дублей и ошибок при передаче информации между блоками.

 

Контроль массовых запусков

В системных событиях и оповещениях появились настройки, которые позволяют ограничить лавинообразное создание процессов при массовых операциях (например, при удалении большого количества объектов). Теперь можно запускать один процесс сразу для набора объектов.

Интеграции и безопасность

В PowerShell-коннекторе добавлен режим JEA: выполнение только разрешённых команд без прав локального администратора. В EventLog можно подставлять параметры в имя журнала. В HTTP-коннекторе появился новый тип данных — Content-Type: text/csv для работы с системами, использующими CSV.

Аналитика и отчёты

Виджеты «Последовательность», «Спидометр» и «Индикатор», а также отчёты теперь могут брать значения из переменной «Результат блока». Это удобно для последовательных расчётов и пошаговой обработки данных.

Интерфейс

Для табличных блоков в карточках объектов появилась настройка ширины «по содержимому» — таблицы стали компактнее. В выпадающих списках для справочников теперь работает поиск без учёта регистра. Интерфейс обработчика событий сделали более наглядным при большом числе правил группировки.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru