Mutaxassis oddiy hiyla yordamida Google Home Hub’ni qanday qilib metallga aylantirishni namoyish etdi.

Hujjatlashtirilmagan API Google Home Hubga bir xil Wi-Fi tarmog’idagi boshqa qurilmalardan buyruqlar olish imkonini beradi.

Xavfsizlik bo’yicha tadqiqotchi Jerri Gamblin Google Home Hub’da qurilmaga bir xil Wi-Fi tarmog’idagi boshqa tizimlardan buyruqlar olish imkonini beruvchi hujjatsiz API’ni aniqladi. Ushbu buyruqlar tajovuzkorlarga, boshqa narsalar qatori, Home Hub’ni qayta ishga tushirish yoki hatto uni Wi-Fi tarmog’idan uzish imkonini beradi, bu esa ilova yordamida qo’lda qayta konfiguratsiya qilishni talab qiladi. Muammo Home Hub’ning ilgari oshkor qilinmagan veb-interfeysidan kelib chiqadi. Ushbu API’dan Home Hub bilan bir xil tarmoqdagi kompyuter yoki qurilma tomonidan hech qanday autentifikatsiyasiz yordamchiga buyruqlar yuborish uchun foydalanish mumkin.

«Men ushbu qurilmalarning umumiy xavfsizligining yomonligidan chin dildan hayratda qoldim. […] Odatda, bunday vaziyatda, agar ular ilgari oshkor qilinmagan bo’lsa, muammolar haqida to’g’ridan-to’g’ri Google’ga xabar berardim. Biroq, avvalgi onlayn ishlarning katta miqdori va ularning kod bazasida kod mavjudligiga qaraganda, ular [muammolardan — tahr.] xabardor ekanliklari aniq», dedi Gamblin.

Google vakillari The Register nashriga Home Hub bilan bir xil tarmoqdagi har qanday qurilma, kompyuter yoki smartfon (shu jumladan zararli dasturlar bilan zararlanganlar) yordamchiga buyruqlar yuborishi mumkinligini tasdiqladilar.

Qurilmani qayta yoqish va Wi-Fi tarmog’ini o’chirish kodlarini tadqiqotchining blogidan topishingiz mumkin (bu yerda).