LG-robotstofzuiger kon door lek op afstand worden overgenomen
Onderzoekers van securitybedrijf Check Point hebben een kwetsbaarheid gevonden in een IoT-oplossing van fabrikant LG waardoor het mogelijk was om de LG Hom Bot-robotstofzuiger op afstand te bedienen en bewoners via de ingebouwde videocamera van de stofzuiger te bespioneren.
De kwetsbaarheid was aanwezig in LG SmartThinQ, een IoT-oplossing waarmee het mogelijk is om huishoudelijke apparaten via de smartphone te beheren en te bedienen. De kwetsbaarheid in de mobiele- en cloud-applicatie van LG SmartThinQ maakte het mogelijk om een vals LG-account aan te maken en hiermee het legitieme LG-account van de gebruiker over te nemen om vervolgens op afstand toegang te krijgen tot de met internet verbonden LG-apparaten van de gebruiker.
Eenmaal in het bezit van het LG-account van een specifieke gebruiker, kon elk LG-apparaat of -applicatie die bij het account hoorde door de aanvaller worden bediend. Denk daarbij aan de robotstofzuiger, koelkasten, ovens, vaatwassers, wasmachines, -drogers en airconditioners. Ook was het mogelijk om gebruikers te bespioneren via de videocamera van de Hom Bot-robotstofzuiger. De robotstofzuiger, waarvan er vorig jaar meer dan 400.000 zijn verkocht, stuurt live video naar de bijbehorende SmartThinQ-app die onderdeel is van de HomeGuard-beveiligingsfunctie. Afhankelijk van de LG-apparaten in huis, was het tevens mogelijk de vaatwasser of wasmachine aan- en uit te zetten.
LG werd op 31 juli over de kwetsbaarheid ingelicht en heeft eind september een update uitgerold. Gebruikers krijgen het advies om te updaten naar versie 1.9.23 of nieuwer van de app, die is te downloaden via de Google Play Store, Apple's App Store of via de SmartThinQ app-instellingen.
Video - LG HomeHack – Secure Your IoT. Bron: YouTube
De zwakheid zat dus in het protocol waarmee de app en de server een sessie opzetten, Ze zullen dat protocol hebben moeten aanpassen om dat te repareren, en dan moeten de app en de server ook allebei aangepast worden. En dus moet de gebruiker een nieuwe versie van de app installeren om van de kwetsbaarheid af te zijn.
Niets gaat boven een Nilfisk GS- of zijn opvolger GM80. Bovendien is stofzuigen van je eigen huis gewoon leuk werk, net zo leuk als het feit dat die van mij (een GS) op de kop af al 37 jaar uitstekend functioneert. Slang, wieltjes, stofzuigermond, allemaal al meermaals vervangen, maar die machine zelf; onbegrijpelijk dat die fabrikant niet failliet gaat...
< end off-topic
Sorry ik heb 2 echte biertjes op en ik zou eigenlijk niet moeten reageren!
LG heeft het de kwetsbaarheid dus niet verholpen, Ze hebben alleen een tweede aanpassing in gebruik genomen waarbij alleen klanten die zelf updaten bescherming genieten en de rest via LG kwetsbaar blijft en zowel een crimineel als de klant hun LG stofzuiger kan gebruiken.
LG heeft het de kwetsbaarheid dus niet verholpen, Ze hebben alleen een tweede aanpassing in gebruik genomen waarbij alleen klanten die zelf updaten bescherming genieten en de rest via LG kwetsbaar blijft en zowel een crimineel als de klant hun LG stofzuiger kan gebruiken.
Ik krijg een beetje de indruk dat je het na een fout zo erg mogelijk wilt maken. Leuk om het voor jezelf sensationeel te maken en je lekker op te winden, maar het hoeft niet te kloppen. LG heeft geblunderd met dat protocol maar dat betekent niet automatisch dat ze blijven blunderen en helemaal geen verantwoordelijkheidsgevoel hebben. Ook als ze er nu goed mee omgaan is het erg genoeg dat het gebeurd is, je hoeft het niet erger te maken dan het is om het erg te vinden. Hopelijk leren ze ervan bij LG.
Sorry ik heb 2 echte biertjes op en ik zou eigenlijk niet moeten reageren!
2 maar? Klinkt als een stuk of 6 met deze post XD.
Die robot stofzuiger kan het wel weer opruimen XD
Gevolg is dat we een soort strandvloertje hebben (overal ligt zand) en we onze schoenen binnen maar aanhouden.
Het nut van een robotstofzuigertje zie ik dus wel, maar het nut van de bediening over het internet per smartphone zie ik dan weer niet zo. En die camera ook niet (als het plaatje klopt dan filmt de stofzuiger op hoogtes waar hij nooit gaat komen, waarom is hij niet alleen op de vloer gericht?).
Of is het handig dat ik er gelijk de kat mee kan bespioneren? Mijn gezinsleden in de gaten houden? De tv aan kan zetten op afstand en dan via de camera van de stofzuiger op het werk mijn favoriete series kijken? Vragen, vragen...
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
