O segredo da falha nos robovacs que expõe dados sensíveis

O que chegou de novo?

Um investigador de segurança descobriu uma vulnerabilidade grave nos aspiradores de robô Shark, que permite extrair certificados de cliente e executar comandos root em dispositivos na mesma região da Amazon Web Services (AWS). Esta falha expõe informações sensíveis, como imagens de câmeras em tempo real e credenciais de Wi-Fi, e, até ao momento, a SharkNinja não endereçou a correção.

Por dentro da máquina (Análise Técnica)

A falha está relacionada com uma política excessivamente permissiva do AWS IoT, onde o certificado utilizado para autenticar o robô nunca foi restrito ao seu dispositivo. Isso significa que, ao conseguir um certificado, um atacante pode enviar comandos para a frota inteira de aspiradores na mesma região da AWS. O investigador, usando um aspirador Shark específico, conseguiu aceder a 44% dos dispositivos monitorados, o que sublinha a gravidade da situação. A forma como o comando é executado, através de um campo específico chamado Exec_Command, só faz aumentar a preocupação sobre a segurança de dispositivos conectados à cloud.

Vale a pena o investimento?

Para quem está a considerar comprar um aspirador de robô da marca Shark, é melhor ter cautela. Apesar das funcionalidades que um bom aspirador pode oferecer, a possível exposição de dados pessoais e a falta de uma correção rápida por parte do fabricante podem fazer parecer que o investimento não vale a pena neste momento. Para quem já tem um modelo, é aconselhável acompanhar as comunicações da SharkNinja relativamente a atualizações de segurança.

Veredito do Técnico

A vulnerabilidade descoberta é alarmante e levanta questões sérias sobre a segurança de dispositivos inteligentes. É crucial que os fabricantes priorizem a segurança e a proteção dos dados dos utilizadores.