Un error en el mecanismo de actualización GoPro revela contraseñas Wi-Fi de los clientes

Una vulnerabilidad en el componente de actualización para el operado por inalámbrico de camaras GoPro ha permitido a un investigador de seguridad recolectar eficazmente más de 1.000 credenciales de acceso (incluida la suya).

La conocida camara portátil se puede controlar por medio de una aplicación, pero para dicha actividad, el cliente tiene que unirse con el sistema Wi-Fi de la camara.

El maestro de seguridad de información con sede en Israel Ilya Chernyakov encontró el defecto cuando tenía que llegar al sistema de cámara de un amigo, sin embargo, el amigo se olvidó de las credenciales de inicio de sesión.

“Para restablecer la configuración de Wi-Fi tienes que seguir las instrucciones en el sitio GoPro. Es realmente sencillo sistema, con Siguiente -> Siguiente -> Finalizar que termina con una conexión, a un archivo zip. Al descargar este registro, se obtiene un archivo zip que se copia a una tarjeta SD, la coloca en su GoPro y reinicias la cámara”, ha aclarado en una entrada de blog.

A raíz de experimentar esta metodología, recibio el archivo comprimido, y en el descubrió un disco que contenía los ajustes definidos para la cámara, incluyendo las credenciales del inicio de sesión del sistema en texto plano.

Sin embargo, el enlace de descarga para el documento zip descubrió más de lo que debería:

http://cbcdn2.gp-static.com/uploads/firmware-bundles/firmware_bundle/8605145/UPDATE.zip

El número que figura en él, que reconoce a esta cámara específica, se puede cambiar sin esfuerzo, y la nueva URL le otorgará otro archivo zip, que contiene las credenciales de inicio de sesión de Wi-Fi de diferentes cámaras utilizadas alrededor del mundo.

Chernyakov intentó el ataque con la ayuda de un script en Python, descargó miles de estos documento documentos, y acumuló un resumen de los nombres de Wi-Fi y contraseñas.

Él no lo hizo para hackear clientes. “Se requiere una cierta inversión perseguir a snowboarders y puentes, en busca de un sistema Wi-Fi de las cámaras GoPro”, señaló, aclarando con éxito los puntos de ruptura de un ataque de ese tipo.

En cualquier caso, un resumen como el que reunió – o uno más amplio – podría ser utilizado por los agresores para abrirse camino a diferentes sistemas o recursos en línea. A fin de cuentas, es una realidad sorprendente que numerosos clientes sean reutilizadas sus credenciales de inicio de sesión y otra vez.

Chernyakov informó US-CERT de esta falla, y aconsejó GoPro, por lo que una corrección es probable efectivamente en marcha.

“Como una rápida remediaron yo consideraría suplantar el número en la URL con un GUID o algún otro tipo de calidad arbitraria para hacer más difícil el averiguar las conexiones”, dice Chernyakov, entre ellas que sería una idea inteligente borrar este tipo de información desde el servidor después de que el cliente la descarga.

Al momento de escribir la nota, GoPro aun no soluciona la falla.

Via THH

Leave a Reply