SOS :: Security Operation Space
21 ноября, среда, 00:00
|
Hot News:

Уязвимость сайта DJI раскрывала аккаунты пользователей хакерам

09 ноября 2018 г., пятница, 11:15

Команда Check Point обнаружила уязвимость платформы для управления дронами DJI. Информацией о найденной уязвимости ИБ-компания поделилась вместе с представителями DJI, компании-разработчика гражданских беспилотных летательных аппаратов и технологий аэрофотосъемки. Эту брешь злоумышленники могли потенциально использовать для воздействия на инфраструктуру DJI.

В своем отчете специалисты Check Point утверждают, что злоумышленник мог потенциально получить доступ к аккаунту пользователя через уязвимость, обнаруженную в процессе идентификации юзерв на онлайн-форуме DJI Forum. Эксперты продемонстрировали, как злоумышленники могут добраться до учетной записи пользователя с помощью платформ DJI и украсть следующие данные:

  • Журналы полетов, фотографии и видео с дронов, если пользователь DJI синхронизировал их с облачными серверами DJI.
  • Снимки с камеры и запись траектории полета в режиме реального времени, если использовалось программное обеспечение для управления полетом FlightHub DJI.
  • Информация, связанная с учетной записью пользователя DJI (например, данные профиля, сведения о кредитной карте и т.д.)

Уязвимость можно было проэксплуатировать через онлайн-форум для пользователей DJI Forum. Исследование показало, что серверный интерфейс DJI идентифицирует каждого пользователя с одинаковым ID-маркером на всех платформах.

Таким образом, открывался вектор для XSS-атаки, которая перехватывает идентификационный токен и использует его для входа в систему в качестве пользователя.

В отличие от большинства случаев похищения аккаунтов, когда злоумышленники полагаются на методы социальной инженерии, в этом случае достаточно было собрать идентификационный токен пользователя с помощью обычной ссылки, размещенной на форуме DJI, чтобы взломать аккаунт жертвы на всех платформах. Когда пользователь переходил по вредоносной ссылке, его учетные данные могли быть похищены для доступа к другим ресурсам:

  • Веб-платформе DJI (учетная запись, магазин, форум);
  • Данным облачного сервера, которые синхронизируются с приложениями DJI Go или DJI GO 4;
  • Системе управления дронами DJI FlightHub.

Брешь получила высокий уровень опасности. Check Point уведомила DJI о ее наличии, после чего компания устранила проблему.

Ваш голос учтён!
нравится
не нравится Рейтинг:
0
Всего голосов: 0
Комментарии

Добавить комментарий к новости

Ваше имя: *
Сообщение: *
Нет комментариев
16:15
15:48
15:16
14:02
13:42
13:15
11:15
10:15
09:15
09:15
08:15
08:15
07:15
07:15
06:15
06:15
05:48
16:57


© 2013—2018 SOS :: Security Operation Space (Пространство Операций Безопасности)  // Обратная связь  | 0.145
Использование любых материалов, размещённых на сайте, разрешается при условии ссылки на sos.net.ua.