Баг в софте для стиральных машин позволяет бесплатно постирать в прачечной

Баг в софте для стиральных машин позволяет бесплатно постирать в прачечной

Баг в софте для стиральных машин позволяет бесплатно постирать в прачечной

Уязвимость в системе безопасности стиральных машин CSC ServiceWorks обнаружили два студента из университета Калифорнии. Баг позволяет проводить неограниченное количество бесплатных циклов стирки.

Студенты Александр Шербрук и Яков Тараненко рассказали, что с помощью этой уязвимости любой может посылать удалённые команды стиральным машинам.

Этот баг кроется в API, которое использует мобильное приложение CSC Go. Софт можно обманом заставить принимать команды, поскольку «проверки безопасности выполняются приложением на устройстве пользователя и автоматически доверяются серверам CSC».

Шербрук обнаружил уязвимость, когда ему удалось подсунуть скрипт с инструкциями для машины по запуску цикла. На тот момент на его счету было 0 долларов. Студенты удивились, когда машина загорелась, ожидая нажатия на кнопку «старт» для запуска стирки.

Затем молодые хакеры пополнили свои счета в прачечной на несколько миллионов долларов, а приложение это допустило.

В январе этого года Шербрук и Тараненко связались с компанией CSC ServiceWorks и сообщили об уязвимости через контактную форму на веб-сайте, но не получили ответа. Дозвониться до представителей им также не удалось. Студенты обратились за помощью в Координационный центр CERT Университета Карнеги-Меллона, чтобы связаться с поставщиком, но тот «даже не зашел на портал CERT, чтобы просмотреть сообщение».

Спустя три месяца (обычно столько исследователи предоставляют поставщикам на исправление уязвимостей) студенты сообщили миру о своей находке. Компания CSC удалила баланс их многомиллионного счета, но баг до сих пор не устранила.

20 мая Шербрук и Тараненко опубликовали в блоге Slug Security пост с техническими подробностями своего открытия.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Лаборатория Касперского увеличила долю в капитале Ximi Pro до 90%

«Лаборатория Касперского» увеличила свою долю в уставном капитале компании Ximi Pro, специализирующейся на защите контейнерных ИТ-инфраструктур. Согласно данным ЕГРЮЛ, антивирусный вендор довёл своё участие с 49% до 90%, существенно усилив контроль над разработчиком.

Сделка подтверждает стратегический интерес «Лаборатории Касперского» к развитию решений в области контейнерной безопасности.

Ximi Pro занимается обеспечением безопасности контейнеризованной ИТ-инфраструктуры. Её основным продуктом является решение Tron.

Как сообщает «Интерфакс», оставшиеся доли в Ximi Pro «Лаборатория Касперского» приобрела у сооснователей компании Михаила Тайнова и Артёма Товбина. Их доли сократились до 5,5% и 4,5% соответственно. Первоначально 49% капитала Ximi Pro были приобретены в феврале 2023 года.

«Компания продолжает инвестировать в наиболее перспективные направления информационной безопасности; Kaspersky Container Security представляет одно из них», — прокомментировал сделку технический директор «Лаборатории Касперского» Артём Иванов. — «Продажи нашего продукта для безопасности контейнерных инфраструктур показывают уверенный рост на домашнем и глобальном рынках».

«Наибольший спрос в рамках международных продаж Kaspersky Container Security мы видим в регионах Ближнего Востока, где наш продукт успешно выдерживает конкуренцию с международными лидерами индустрии. Мы продолжаем активное развитие данного продукта, и уже в этом году в нём появится функционал на базе искусственного интеллекта, который значительно упростит процесс безопасной настройки контейнерной инфраструктуры».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru