流媒体智能电视设备中发现的安全漏洞

如今,越来越多的人不再使用传统的电视,而是转向各种流媒体解决方案,这些解决方案可以提供更广泛的内容,而无需让电缆专家进入您的房屋。那些各种类型的流硬件有时被称为“流盒”。直到最近才发现一个这样的流媒体盒包含一个严重的漏洞,该漏洞使黑客能够对您的数据进行很多不良处理。

有问题的流媒体盒是Hindotech HK1,它是一种运行在Android上的媒体流媒体设备,可让您在电视机上观看在线视频和流媒体服务,例如YouTube和Netflix或Twitch。该设备还允许安装Android应用程序,因此您可以在大屏幕上从中访问各种社交媒体。

黑客可以获得特权

在国家漏洞数据库(National Vulnerability Database)运营的通用漏洞评分系统计算器上,硬件的关键问题被评为9.3(满分10)。如此之高的原因是,流传输盒中的安全漏洞允许在根级别执行任意代码。这或多或少等于完全控制设备。

通过root访问和任意代码执行,不良行为者可以窃取Wi-Fi密码,消息,社交网络帐户令牌,位置数据和联系人列表。

不良行为者首先获得root特权的原因是访问控制的问题。没有特权的本地用户可以升级到root用户。当通过其串行端口进行连接或使用Android Debug Bridge(即使是普通用户)进行连接时,设备也会遇到调试功能方面的问题。

错误的参与者可以在无需输入任何登录凭据的情况下访问shell,然后可以将其特权提升为root。

一旦获得根访问权限,一切都将成为可能。可获得有关设备常规用户的任何数据,以及嗅探同一网络上其他已连接设备的能力。

制造商无回应

Hindotech HK1由深圳Hindo Technology Co.,Ltd制造,该公司是在香港以外地区经营的实体。来自Sick.Codes的研究人员发现了流媒体盒的安全性问题,但他们尝试就此问题与制造商联系的尝试失败。在撰写本文时,该公司的官方网站仍在其所有页面上返回内部服务器错误500。硬件问题仍未解决。

这既不是家庭设备安全问题的第一个案例,也不是最后一个案例。过去,我们涉及过很多设备存在严重安全问题的情况,从诸如流设置之类的复杂问题到诸如智能插件之类的简单对象。那些过去的情况应该提醒人们,在购买任何可以连接到Internet的设备之前,总是要多做一些研究。

October 16, 2020

发表评论