Durante un análisis, los investigadores descubrieron muchos problemas de seguridad en los robots inteligentes Enabot Ebo Air. Estas vulnerabilidades amenazan directamente la seguridad de los sistemas domésticos inteligentes, lo que permite que un adversario tome el control de los dispositivos objetivo.
Vulnerabilidades de Enabot Ebo Air
Según un informe reciente de Modux, sus investigadores analizaron el robot inteligente Enabot Ebo Air siguiendo una solicitud de Which? y encontró dos grandes fallas de seguridad.
Ebo Air de Enabot es básicamente un robot inteligente que brinda servicios de seguridad para el hogar. Equipado con Wi-Fi, una cámara, parlantes, un micrófono y ruedas, este robot se mueve por la casa, lo que permite al usuario monitorear la situación de la casa en tiempo real.
Sin embargo, estas características también significan que cualquier vulnerabilidad, si se explota, puede comprometer directamente la seguridad del hogar de los usuarios.
Según los investigadores, encontraron dos problemas críticos de seguridad en el robot Ebo Air. Primero, todos los bots tenían las mismas credenciales de administrador codificadas. Esto significa que cualquiera que conozca estas credenciales podría comprometer cualquier bot objetivo al obtener acceso a la red objetivo.
Una vez hecho esto, el atacante podría conectarse al robot a través de SSH y tomar el control del dispositivo. Esto incluye el poder de entrometerse con todas las funciones del robot, acceder a la cámara y al micrófono para espiar al usuario, descargar videos y audios e incluso acceder a las contraseñas de WiFi. Explotar el error simplemente requería que un adversario interceptara una actualización de firmware para obtener acceso a la contraseña codificada.
Si bien la vulnerabilidad aparentemente requiere acceso local, los investigadores observaron que incluso un atacante remoto podría aprovechar la falla. El adversario podría usar el software incorporado para conectarse a un servidor externo. Esta conexión remota continuaría incluso en el modo de espera del dispositivo.
La segunda vulnerabilidad fue una falla de divulgación de información que existía debido a la función de eliminación segura. En pocas palabras, el robot no eliminará los datos almacenados correctamente, incluso después de un restablecimiento de fábrica, lo que los expondrá a un acceso malicioso.
Parches implementados
Los investigadores se pusieron en contacto con los vendedores para informarles de las fallas tras este descubrimiento. Propusieron deshabilitar el acceso remoto SSH para aliviar el problema de la contraseña compartida y establecer contraseñas codificadas únicas para cada dispositivo. También sugirieron implementar la función de eliminación segura para garantizar la eliminación adecuada de los datos después de un restablecimiento de fábrica.
Después de su informe, los proveedores corrigieron las vulnerabilidades que también confirmaron los investigadores. Entonces, ahora todos los usuarios de Ebo Air deben asegurarse de actualizar el firmware de su dispositivo para recibir las correcciones.
