Баги в Sony Smart TV раскрывают пароль Wi-Fi и позволяют выкрасть файлы

Олег Иванов 26 Апреля 2019 - 10:36

Домашние пользователи

...

Умные телевизоры Sony Smart TV, работающие на операционной системе Android, содержат две уязвимости, позволяющие скомпрометировать пароль Wi-Fi и выкрасть мультимедийный контент, который хранится на устройстве.

Проблемы безопасности, которые также затрагивают и флагманскую линию Bravia, содержатся в приложении Photo Sharing Plus приблизительно с 2015 года. В октябре их обнаружили эксперты xen1thLabs.

Чтобы справиться с уязвимостями, Sony приняла решение удалить проблемное приложение на всех новых устройствах. На этой неделе информация об этих дырах стала публично доступна.

Важно помнить, что данные бреши угрожает не только домашним пользователям, но и различным организациям, которые используют Smart TV для конференций.

Приложение Photo Sharing Plus позволяет загружать картинки и другой мультимедийный контент со смартфона в телевизор, что является отличным способом просмотра материалов в режиме слайд-шоу.

Первая из уязвимостей (CVE-2019-11336) позволяет не прошедшему аутентификацию злоумышленнику извлечь пароль Wi-Fi, который создается телевизором при запуске приложения Photo Sharing Plus. Напомним, что когда пользователь запускает приложение, оно превращает телевизор в точку доступа Wi-Fi.

Благодаря второй бреши (CVE-2019-10886) атакующий может удаленно читать файлы, включая изображения, которые хранятся в памяти телевизора. Это также можно осуществить без процесса аутентификации.

«По умолчанию фотографии сохраняются в директории /data/user/0/com.sony.dtv.photosharingplus/files/_BRAVPSS.TMP/», — объясняет команда исследователей.

Со списком уязвимых моделей можно ознакомиться по этой ссылке.

Следующая главная новость »

Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Татьяна Никитина 20 Сентября 2024 - 19:04

Домашние пользователи Системы аутентификации Парольная защита (пароли)

Google Chrome теперь синхронизирует passkey между Android и десктопами

В Chrome упростили использование беспарольной аутентификации (passkey) на Windows, macOS и Linux. Отныне такие ключи доступа можно сохранять в Google Password Manager с десктопа, и они будут автоматом синхронизироваться между всеми устройствами юзера.

Реализация кросс-платформенной поддержки (в список обещают добавить также iOS) потребовала дополнительных мер безопасности. В частности, были реализованы новая функциональность Google Password Manager PIN и сквозное шифрование passkey — с тем, чтобы эти ключи доступа не попали в чужие руки, даже к Google.

При первом сохранении passkey с использованием десктопной версии браузера менеджер паролей (GPM) попросит ввести код разблокировки экрана Android-устройства (для подтверждения личности), а затем создать ПИН.

По умолчанию этот код должен состоять из шести цифр, но юзеру предоставлена возможность расширить строку и использовать также буквы. Использование хранимых ключей беспарольного доступа потребует ввода ПИН (либо идентификатора с Android).

Прежде владельцы Chrome могли сохранять passkey в GPM только с помощью Android. Пользоваться ими можно было и с других платформ, однако это требовало скана QR-кода устройством, на котором их создали. Нововведения позволяют пропустить этот этап, что упрощает вход на сайты и в приложения.

По внутренним данным, технологию passkey используют более 400 млн аккаунтов Google. В Android при этом предусмотрена возможность подтверждения личности с помощью passkey одним тапом.