中国製ロボット掃除機に脆弱性――ハッカーに家中を覗かれる可能性あり

スマートホーム製品というのはなるほどそこそこ便利だが、家に呼び入れたデバイスのWiFiを誰かが悪用しようと考える可能性があることは知っておく必要がある。
しかし多くのユーザーはロボット掃除機もこのカテゴリーに入るとは考えなかっただろう。
エンタープライズ・セキュリティーを提供する企業、Positive Technologiesの研究者2人はDongguan Diqee 360シリーズのロボット掃除機に存在するセキュリティー上の脆弱性に関して詳しい情報を公開した。このロボット掃除機は広東省東莞市のスマートホーム・デバイスのメーカー、Diqee
Intelligence（缔奇智能）の製品で、 WiFiと360度カメラを備えている。これにより家の中を動き回って監視するダイナミック・モニタリングが可能だというのが売りだ。しかしこの機能に悪用の危険性があるといいう。
CVE-2018-10987として知られるリモートでコードが実行される脆弱性により、デバイスのMACアドレスを知っているハッカーはシステム管理者の権限を乗っ取ることができる。今回のレポートによれば、脆弱性はREQUEST_SET_WIFIPASSWD関数内に存在する。この関数を使用するためには認証が必要だが、デフォルトのユーザー名/パスワードはadmin/888888という弱いものだった。
脆弱性が確認されたのはDongguan

リンク元