物联网厂商 CalAmp 服务器配置错误,黑客可盗窃数据,开车走人

雷锋网  •  扫码分享
我是创始人李岩:很抱歉!给自己产品做个广告,点击进来看看。  

物联网厂商 CalAmp 服务器配置错误,黑客可盗窃数据,开车走人

雷锋网消息,据外媒美国时间 5 月 20 日报道,安全研究人员发现,CalAmp(一家为多个知名系统提供后端服务的公司)运营的一台服务器因为错误配置,黑客可借助该漏洞接入账号数据,甚至直接接管相关车辆。

发现该问题时,安全专家 Vangelis Stykas 和 George Lavdanis 正在搜寻 Viper SmartStart 系统中的安全漏洞,这是一款让用户能远程启动、锁闭、解锁或定位车辆的设备,有了它,用户只需操作手机中的应用就能直接完成上述操作。

与其他移动应用类似,这套系统用了 SSL 和证书锁定(Certificate Pinning,已知其服务器用上了硬编码)安全连接来自动拒绝那些提供虚假 SSL 认证连接的网站。

不过两位安全专家指出,该应用不但会连接到 mysmartstart.com 的域名,还会连接第三方域名(https://colt.calamp-ts.com/,即 Calamp.com Lender Outlook 服务)。只要使用 Viper 应用生成的用户凭证,谁都能登陆控制台。

“该控制台看起来是 Calamp.com Lender Outlook 服务的前端,我们试着用 Viper 生成的用户凭证登陆,居然成功了。”安全专家 Stykas 在一篇博文中写道。“显然,这是那些拥有多个子账户和大批车辆需要控制公司的控制台。”

进一步测试后,研究人员确认了一点,那就是这套系统的入口还是安全的。不过,在评估中他们却发现,各种报告其实是来自另一台专用服务器,它负责运行的是 tibco jasperreports 软件。

这还是两位专家第一次分析这种类型的服务器。移除所有参数后,他们发现,自己居然以用户身份登陆了,虽然权限受限,但已经可以接入许多报告了。

“我们不得不运行所有报告,并且发现前端根本就没有审核用户 ID,而是选择自动让其通过。不过,现在我们得从控制台提供 ID 作为输入项。当然,我们可以选择想要的任意数字。”

一番研究后他们发现,自己已经可以接入所有车辆的所有报告了(包括位置记录),而且只要知道了用户名,就能直接接入数据源(密码做了伪装处理,所以无法导出)。同时,借助服务器还能轻松复制和编辑现有报告。

“我们无法创建报告、AdHoc 无线网络或其它项目,不过我们能对现有内容进行复制粘贴和编辑,这也就意味着我们已经大权在握。此外,我们还能在报告中加入任意的 XSS 来窃取信息。当然,这是正派人士所不齿的。”上述专家说。

雷锋网 (公众号:雷锋网) 了解到,掌握了服务器上的生产数据库后,研究人员就能通过移动应用接管用户账户。如果黑客知道了某账户的密码(老密码),就能直接定位车辆并开车走人。

两位专家指出,这一漏洞可能导致下列严重后果:

1. 黑客只需修改用户密码,就能直接解锁并开走车辆;

2. 拿到所有位置记录报告;

3. 在某人开车时直接关掉车辆引擎;

4. 远程操控开启引擎;

5. 拿到所有用户的数据;

6. 通过应用拿到总线信息;

7. 从连接数据库拿到 IoT 设备的数据或重设密码。这也就意味着黑客手中能掌握千万种可能。

据悉,两位专家本月月初就将问题反映给了 CalAmp,而后者在十天内就将问题彻底解决。

雷锋网 Via.  Security Affairs

随意打赏

物联网黑客攻击物联网应用技术物联网安全厂商黑客入侵服务器大数据人工智能黑客攻击物联网物联网芯片厂商物联网的概念物联网是什么物联网 黑客
提交建议
微信扫一扫,分享给好友吧。