🇮🇹 Sintesi in Italiano
Si scopre che alcuni robot aspirapolvere della marca Shark possono nascondere delle backdoor virtuali più grandi di quanto si creda. Non parliamo solo di spazzare i peli; stiamo parlando di potenziali falle nella sicurezza domestica, man mano che la connettività smart entra in ogni angolo di casa. Il caso ha riguardato un modello specifico (il Shark RV2320EDUS), da cui è stato possibile estrarre il certificato e le credenziali del dispositivo. L’attaccante, dopo aver ottenuto l’accesso fisico al robot tramite porte UART esposte e una console U-Boot debole, è riuscito a rubare questi preziosi pezzi di identità digitali. Il vero guaio non era tanto il certificato stesso, ma la configurazione del cloud (AWS IoT Core) che lo ospitava. Sembrava che le policy di sicurezza fossero troppo generose: concedevano un accesso ‘wildcard’ a interi gruppi di dispositivi nella stessa regione AWS, anziché limitarsi solo al singolo aspirapolvere. Questo significava che una singola credenziale compromessa poteva potenzialmente spiare e inviare comandi ad altri robot Shark presenti nello stesso ecosistema. A sfruttando questa falla nella policy cloud, è stato possibile non solo monitorare lo ‘stato’ di altri robot (tramite i device shadow), ma anche forzare l’esecuzione di comandi remoti tramite la funzione Exec_Command. Il ricercatore ha dimostrato che con un solo certificato rubato poteva ottenere il controllo totale su altri modelli Shark, inclusa l’accesso ai motori e al feed della telecamera. Peggio ancora: non è bastata a spazzare i peli; sono state esposte la mappa domestica dettagliata e, attenzione, anche la password Wi-Fi memorizzata in chiaro all’interno del robot. Il consiglio da esperti? La correzione deve avvenire lato cloud, restringendo le policy AWS IoT per vincolare ogni dispositivo al proprio nome. Per gli utenti finali (noi che abbiamo questi gioielli tecnologici in giro), l’unica mitigazione immediata e sicura è scollegare completamente il robot aspirapolvere dal Wi-Fi.”
🇬🇧 Summary in English
Turns out that some Shark vacuum robots might be hiding virtual backdoors much larger than expected. This isn’t just about picking up crumbs; this is talking about potential security gaps in your smart home, as connectivity creeps into every corner of life. The vulnerability was explored using a specific model (the RV2320EDUS), allowing researchers to extract the device’s private certificate and credentials. The initial foothold required physical access—exploiting exposed UART pins and an easily accessible U-Boot console—but the bigger problem lay with the cloud configuration (AWS IoT Core). The security policies were alarmingly permissive, granting a ‘wildcard’ access to entire groups of devices within the same AWS region instead of restricting commands just to the specific vacuum cleaner. This meant that one compromised set of credentials could potentially spy on and send commands to other Shark robots in the same ecosystem. By leveraging this flaw in the cloud policy, attackers could not only monitor the ‘state’ of other robots (via device shadows) but also force remote command execution through the Exec_Command function. Researchers demonstrated that with a single stolen certificate, total control could be achieved over other Shark models, including motor access and camera feed viewing. To make things even worse: they didn’t just scoop up dirt; the detailed home map and, crucially, the Wi-Fi password were exposed in plain text. The expert recommendation? The primary fix must happen on the cloud side by tightening AWS IoT policies to ensure every device is bound only to its own name. For end-users (that’s us with these tech gadgets running around our houses), the one immediate and sure mitigation is simply disconnecting the robot from Wi-Fi.
Leggi l’articolo originale su Tom’s Hardware IT →
Fonte: Tom’s Hardware IT | Argomento: Tech News
#tecnologia #innovazione #technews