Независимый ИБ-исследователь Дхирадж Мишра (Dhiraj Mishra) нашел способ подменять трансляцию на смарт-телевизорах Supra. Программную ошибку можно использовать как для невинных розыгрышей, так и для более опасных атак.

Проблема связана с функцией openLiveURL(), которая обеспечивает стриминг видео из интернет-источников. Как выяснил эксперт, разработчики не защитили этот механизм Supra Smart Cloud TV от стороннего вмешательства — телевизор принимает URL  без предварительной аутентификации. Это позволяет по сети отправить устройству HTTP-запрос, чтобы предложить собственную ссылку на сторонний файл, и она будет принята без всякой проверки. Уязвимость получила идентификатор CVE-2019-12477.

Обнаруженный баг заставил комментаторов вспомнить случаи перехвата телетрансляций, когда взломщики подменяли картинку на собственный контент. По словам Мишры, организаторы атаки могут воспользоваться уязвимостью, чтобы вывести на экран ложное экстренное сообщение, вызвать панику или заставить владельца телевизора покинуть помещение.

Вредоносный потенциал бага сильно ограничивает то, что злоумышленник должен находиться в одной WiFi-сети с уязвимым устройством. Однако в некоторых случаях получить такой доступ можно и удаленно — например, если телевизор по каким-то причинам открыт для внешних подключений. Как уже не раз демонстрировали ИБ-эксперты, некорректная настройка умных устройств может открыть полный доступ к системным функциям. В определенных обстоятельствах преступники смогут и взломать защищенную WiFi-сеть.

На момент публикации производитель не отреагировал на сообщения о наличии уязвимости. Связаться с представителями Supra не удалось ни самому эксперту, ни журналистам. Владельцам небезопасных телевизоров рекомендуется проверить настройки домашних WiFi-сетей и закрыть внешний доступ к своим умным устройствам.

Ранее проблемы безопасности обнаружились в телевизорах Sony Bravia. Уязвимости позволяли просматривать сохраненный на устройствах контент, внедрять сторонний код и вызывать критические ошибки.

Категории: Уязвимости