Příčinou jsou dvě zranitelnosti – CVE-2021-39276 (skóre CVSS: 5,3) a CVE-2021-39277 (skóre CVSS: 5,7). Zranitelnosti objevila a nahlásila firma Rapid7 v květnu 2021 a stanovila 60denní lhůtu na jejich opravu.
Fortress S03 Wi-Fi je zabezpečovací systém typu “udělej si sám” (DIY), umožňující uživatelům nastavit systém zabezpečení na míru. Systém je navržen pro zabezpečení domácností a menších podniků před zloději, požáry, únikem plynu a vody. System využívá technologií Wi-Fi a RFID pro “bezkontaktní” vstup. Bezpečnostní a sledovací systémy společnosti používají tisíce klientů a stálých zákazníků (alespoň podle webových stránek výrobce).
Výzkumníci společnosti Rapid7 označili zranitelnosti za “triviálně snadno zneužitelné”. Především chyba CVE-2021-39276, která se týká neautentizovaného přístupu k rozhraní API. Díky této zranitelnosti může útočník, jenž má k dispozici e-mailovou adresu oběti, získat číslo IMEI (International Mobile Equipment Identity) zařízení – něco jako sériové číslo zařízení. Vyzbrojen IMEI zařízení a e-mailem může útočník provést řadu změn, například vypnout alarmový systém prostřednictvím neověřeného požadavku POST.
CVE-2021-39277 se naopak týká replay útoku na RF signál. Nedostatečné šifrování umožňuje zachytit komunikaci příkazů a řízení na rádiové frekvenci pomocí softwarově definovaného rádia (SDR). Hacker díky tomu získá oprávnění k provedení specifických funkcí, jako jsou operace “odjištění” a “odpojení”, na cílovém zařízení.
“V případě CVE-2021-39276 může útočník se znalostí e-mailové adresy uživatele snadno deaktivovat domácí alarm bez jeho vědomí,” uvedli výzkumníci ve zprávě. “CVE-2021-39277 představuje podobný problém. Útočníkovi ke kompromitaci stačí pouze sledovat objekt a čekat až oběť použije zařízení ovládaná v dosahu rádia. Útočník pak může příkaz k vypnutí systému zachytit a použít později.”
Společnost Rapid7 uvedla, že informovala společnost Fortress Security o chybách, ale ta se zatím k zprávě nevyjádřila. Vzhledem k tomu, že problémy stále přetrvávají, doporučujeme uživatelům používat unikátní e-mail vytvořený pouze pro obsluhu zařízení Fortress Security.
“V případě CVE-2021-39277 se zdá, že uživatel může udělat jen velmi málo pro zmírnění dopadů problémů. Stále totiž není k dispozici aktualizace firmwaru, která by vynutila kryptografické kontroly RF signálů. Uživatelé by se měli vyhnout používání klíčenek a dalších RF zařízení propojených s domácími bezpečnostními systémy,” uvedli výzkumníci.
Autor: Ondřej Vanáč, spoluzakladatel CyberBlog.cz
Zdroj: The Hacker News
Foto: Unsplash
Termín zero trust ušel od svého vzniku dlouhou cestu. Z buzzwordu je dnes respektovaný přístup ke kyberbezpečnosti, který v posledních letech implementují firmy po celém světě. V tomto článku si přiblížíme základní prvky zero trustu a důvody proč by měl mít místo v moderním zabezpečení firem a organizací.
Užitečné kvantové počítače zatím nejsou realitou. Společnost Apple však v jednom z největších nasazení postkvantového šifrování přináší tuto technologii do iMessage.
Bankovní trojský kůň Anatsa se zaměřuje na uživatele v Evropě a infikuje zařízení se systémem Android prostřednictvím malwarových dropperů umístěných na Google Play.
S nástupem digitální transformace a rostoucí závislostí podniků na digitálních službách je zabezpečení aplikací a rozhraní API (Application Programming Interfaces) důležitější než kdy dříve. S ohledem na to jsou zabezpečení aplikací a API dvě zásadní součásti komplexní bezpečnostní strategie. Využitím těchto postupů se organizace mohou chránit před škodlivými útoky a bezpečnostními hrozbami a především zajistit, aby jejich data zůstala v bezpečí.
Romantičtí chatboti shromažďují obrovské množství dat, poskytují nejasné informace o tom, jak je používají, používají slabou ochranu heslem a nejsou transparentní, tvrdí nový výzkum společnosti Mozilla.
Pokud jde o zabezpečení přístupu, jedno doporučení vyniká nad ostatními: vícefaktorové ověřování (MFA). Vzhledem k tomu, že samotná hesla jsou pro hackery jednoduchou prací, poskytuje MFA zásadní vrstvu ochrany proti narušení. Je však důležité si uvědomit, že MFA není bezchybné. Lze ho obejít, a často se tak i děje.
Na internetu jste neustále monitorováni. Hlavním viníkem je často reklamní průmysl a technologické společnosti, které jsou na reklamě silně závislé, aby vydělaly peníze ( např. Google a Meta). Na webu vás mohou sledovat neviditelné trackery a cookies vložené do webových stránek a aplikací. Přečtěte si návod, jak se stát více anonymním na internetu.
Minulý rok byl plný ničivých kybernetických útoků po celém světě, od ransomwarových útoků na kasina až po státem sponzorované narušení kritické infrastruktury.
0 Comments