Стриминговые устройства EZCast компрометируют безопасность пользователей

Стриминговые устройства EZCast компрометируют безопасность пользователей

Цифровые медиаплееры EZCast работают по тому же принципу, что и устройства Chromecast компании Google. Эти HDMI-донглы удобны и подходят практически к любому телевизору, превращая его в полноценный Smart TV. Но специалисты компании Check Point предупреждают: использование EZCast может привести к компрометации всей домашней сети.

Эксперт компании Check Point Касиф Дикель (Kasif Dekel) обнаружил в прошивке донглов EZCast сразу несколько багов. К сожалению, компания EZCast до сих пор не выпустила исправление, хотя исследователь давно сообщил им о найденных проблемах.

Дикель выяснил, что для упрощения работы донгл создает собственную Wi-Fi сеть, чтобы без проблем подключить к EZCast другие устройства (ноутбуки, ПК или мобильные гаджеты) и начать стримить контент. Проблема в том, что эта сеть Wi-Fi защищена лишь простым паролем, длина которого составляет 8 символов. Устройство также не имеет никакой защиты против брутфорс-атак, так что взломать пароль крайне легко, пишет xakep.ru.

Дикель пишет, что злоумышленник также может использовать приемы социальной инженерии и создать вредоносную ссылку, которую можно отправить в Skype или Facebook жертвы. Если такое вредоносное сообщение будет открыто на ТВ, пока пользователь находится в сети через телевизор с подключенным EZCast, атакующий получит доступ к сети донгла.

Исследователь объясняет, что пользователей не спасет тот факт, что EZCast подключается к телевизору, а не к ПК. Если атакующий сумеет проникнуть в Wi-Fi сеть донгла, он без проблем доберется и до других устройств в этой сети – ноутбуков, ПК и так далее.

 «Устройства EZCast создавались без оглядки на безопасность, — пишет эксперт. — Нам [с коллегами] удалось обнаружить несколько критических уязвимостей и это лишь верхушка айсберга. Вы продали бы root shell для своей сети за $25? По сути, покупая устройство EZCast, вы делаете именно это».

По итогам своих изысканий, Дикель обнаружил две уязвимости, позволяющие произвести удаленное выполнение произвольного кода, одну возможность инъекции команд и один баг, связанный с неограниченной загрузкой файлов. Эксплуатация найденных проблем позволит атакующему получить root-привилегии в системе.

Как уже было сказано выше, производитель донглов проигнорировал все сообщения об уязвимостях, посланные экспертами. Исправлений пока нет и, похоже, не предвидится.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Продажи плюшевых ИИ-мишек приостановлены из-за их сексуальных фантазий

Базирующаяся в Сингапуре компания FoloToy сняла с продажи медвежат Kumma и другие игрушки на основе ИИ после того, как исследователи выявили их склонность к вредным советам и обсуждению сексуальных пристрастий.

Вендор интеллектуальных плюшевых мишек заявил, что проводит аудит безопасности ассортимента, использующего ИИ-технологии.

Набивной плюшевый мишка с интегрированным чат-ботом на основе GPT-4o производства OpenAI продавался по цене $99 и позиционировался как дружелюбный и знающий собеседник, которого оценят и любознательные дети, и их родители.

Как выяснилось, вооруженная ИИ приятная игрушка использует его без должных ограничений. Тестирование показало, что Kumma с готовностью выдают потенциально опасный контент — сведения о нетрадиционном сексе с наглядной графикой, а также советы о том, как зажигать спички и где отыскать в доме ножи.

Получив соответствующее уведомление, OpenAI заблокировала разработчика детских игрушек за нарушение ее политик. Вместе с тем исследователи с сожалением отмечают, что это не единичный случай: производство ИИ-игрушек пока никак не регулируется, а поток их продаж растет.

Удаление одного потенциально опасного продукта с прилавков, по мнению экспертов, не решит проблемы, пока не будет введен систематический контроль.

Стоит заметить, что детские игрушки на основе ИИ, склонного к галлюцинациям, способны нанести еще больший вред, чем некогда модные интерактивные куклы, мягкие зверики и роботы, подключенные к интернету и потому уязвимые к взлому и перехвату персональных данных.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru