Lỗ hổng trên thiết bị GoPRO để lộ mật khẩu và tài khoản người dùng

GoPRO là nhà sản xuất máy quay độ phân giải cao chứa lỗ hổng trong trang web của mình để lộ tài khoản và mật khẩu hàng nghìn khách hàng.

GoPro cung cấp một ứng dụng di động cho phép người dùng toàn quyền điều khiển tính năng của camera như chụp ảnh, ghi hình hay thay đổi cài đặt. Bạn cần kết nối không dây để điều khiển camera của bạn và ứng dụng GoPro cho bạn kết nối trực tiếp đến kênh của GoPro để xem ảnh, xem lại video và chia sẻ chúng thông qua email, Facebook, Twitter …

Các nhà nghiên cứu bảo mật Ilya Chernyakov báo cáo rằng cơ chế cập nhật camera của GoPro có thể dẫn đến việc lộ tài khoản và mật khẩu không dây. Gần đây Chernyakov có mượn từ một người bạn camera GoPro nhưng đã quên mật khẩu . Ông quyết định phục hồi lại mật khẩu camera bằng cách cập nhật firmware camera.

Để cập nhật camera, chỉ cần thực hiện theo hướng dẫn trang trang web của GoPro. Khi bạn đã tải file về dưới dạng .ZIP, đưa nó vào thẻ nhớ GoPro và khởi động lại camera. Đường dẫn tạo bởi GoPro cho thiết bị của Chernyakov là:

http://cbcdn2.gp-static.com/uploads/firmware-bundles/firmware_bundle/8605145/UPDATE.zip

Khi ông mở file nén này ra, có một file có tên “settings.in” chứa cài đặt dành cho camera, bao gồm cả tên mạng không dây và mật khẩu dưới dạng văn bản.
Bạn có thể để ý thấy dòng số được bôi đậm trong đường dẫn là số serial number thiết bị camera của Chernyakov. Chernyakov cho biết trang web của GoPro không hề đưa ra bất kì biện pháp xác thực nào khi cung cấp file tải về cho mỗi khác hàng, chỉ cần thay đổi mã số trong đường dẫn là có thể tải về file của những khách hàng khác.
Mật khẩu không dây này không có tác dụng khi nằm ngoài vùng phủ sóng nhưng những chúng cũng có thể được sử dụng bởi tin tặc trong các cuộc tấn công khác.

THN