Check Point виявила вразливість у платформі для керування дронами DJI
Check Point виявила вразливість у платформі для керування дронами DJI
Дослідники Check Point, одного з провідних постачальників рішень для забезпечення кібербезпеки, та представники DJI, виробника цивільних безпілотних літальних апаратів, поділилися інформацією про знайдену вразливість, яку потенційно могли використовувати для впливу на інфраструктуру DJI.
У своєму звіті команда Check Point Research описала процес, у якому зловмисник міг потенційно отримати доступ до облікового запису користувача через вразливість, виявлену в процесі ідентифікації користувача на онлайн-форумі DJI Forum, який підтримує компанія. Дослідники Check Point продемонстрували, як зловмисники можуть отримати повний доступ до облікового запису користувача за допомогою платформ DJI та вкрасти такі дані, як: журнали польотів, фотографії та відео з дронів, якщо користувач DJI синхронізував їх із хмарними серверами DJI; знімки з камери та запис траєкторії польоту в режимі реального часу, якщо використовувалося програмне забезпечення для керування польотом FlightHub DJI; інформація, пов'язана з обліковим записом користувача DJI (наприклад, дані профілю, відомості про кредитну картку тощо).
Уразливість була доступна через онлайн-форум для користувачів DJI Forum. Дослідження показало, що серверний інтерфейс DJI ідентифікує кожного користувача з тим самим ідентифікаційним маркером на всіх платформах. Тоді було досить просто виконати XSS-атаку, яка перехоплює ідентифікаційний токен і використовує його для входу як клієнт. На відміну від більшості випадків викрадення облікових записів, коли зловмисники покладаються на методи соціальної інженерії, в цьому випадку достатньо було зібрати ідентифікаційний токен користувача з за допомогою звичайного посилання, розміщеного на форумі DJI, щоб зламати обліковий запис жертви на всіх платформах. Коли користувач переходив за шкідливим посиланням, його облікові дані були викрадені для доступу до інших ресурсів: веб-платформі DJI (обліковий запис, магазин, форум); даних хмарного сервера, які синхронізуються з програмами DJI Go або DJI GO 4; системі керування дронами DJI FlightHub.
Check Point повідомила DJI про цю вразливість, після чого компанія виправила вразливість. DJI класифікувала цю вразливість як високий ризик, проте повідомила, що немає причин підозрювати, що ця вразливість будь-коли експлуатувалася кимось, крім дослідників Check Point.
«Ми вітаємо експертизу фахівців Check Point, яку вони продемонстрували у розкритті потенційно критичної вразливості, — сказав Маріо Ребелло, віце-президента DJI. — Коли ми створювали програму Bug Bounty, ми орієнтувалися насамперед на такі ситуації. Усі технологічні компанії розуміють, що посилення кібербезпеки – це безперервний процес, який ніколи не закінчується. Захист цілісності інформації наших користувачів є пріоритетом для DJI, і ми прагнемо продовжити співпрацю з відповідальними дослідниками інформаційної безпеки, такими як Check Point».
«Враховуючи популярність безпілотників DJI, важливо, щоб потенційно критичні вразливості, подібні до цієї, вирішувалися швидко і ефективно, і ми раді, що команда DJI робить все для цього, — зазначив Одід Вануну, голова підрозділу Check Point Software Technologies з досліджень та пошуку вразливостей. — Після такого відкриття компанії мають усвідомити, що конфіденційна інформація може використовуватися між усіма платформами і, якщо трапиться витік із однієї з них, це може призвести до компрометації глобальної інфраструктури».
