TP-LINK Tapo L530E 智能灯泡现安全漏洞,可用于窃取 WiFi 密码
IT之家 8 月 22 日消息,意大利和英国的研究人员日前在 TP-Link Tapo L530E 智能灯泡和 TP-Link Tapo 应用程序中发现了 4 个漏洞,黑客可以利用这些漏洞窃取目标的 WiFi 密码,相关论文已经发布在 ArXiv 上。
据悉,TP-Link Tapo L530E 是亚马逊海外市场上相当畅销的一款智能灯泡,IT之家经过查询得知,该灯泡 2 个装售价为 24.99 美元(当前约 182 元人民币),在亚马逊美国评价为 4.1 分(满分 5 分),有 4185 条评价。
▲ 图源 亚马逊美国
研究人员介绍漏洞内容如下:
第一个漏洞涉及 Tapo L503E 上的不正确身份验证,允许黑客在会话密钥交换步骤中冒充设备。此高严重性漏洞(CVSS v3.1 评分:8.8)允许相邻攻击者检索 Tapo 用户密码并操纵 Tapo 设备。
第二个漏洞也是一个高严重性漏洞(CVSS v3.1 得分:7.6),由硬编码的短校验和共享密钥引起,黑客可以通过暴力破解或反编译 Tapo 应用程序来获取该密钥。
第三个漏洞是一个中等严重性缺陷,涉及对称加密过程中缺乏随机性,使得加密方案可预测。
第四个漏洞源于缺乏对接收消息的新鲜度的检查,保持会话密钥在 24 小时内有效,并允许攻击者在此期间重放消息。
▲ 图源 bleepingcomputer
研究人员在发现这些漏洞后向 TP-Link 进行了披露,对方承认了这些问题的存在,并告知将很快对应用程序和灯泡固件进行修复。
在这之前,研究人员建议用户将这些类型的设备与关键网络隔离,使用最新的可用固件更新和配套应用程序版本,并使用二次验证和强密码保护帐户。
免责声明:凡本网站发布的文章、图片、音频、视频等内容所表述的观点和立场不代表本网站的观点和立场,若对该观点或立场有疑义或异议,请及时用电子邮件或电话通知我们,以迅速采取适当措施,避免给双方造成不必要的经济损失。凡本网站发布的所有文章 、图片、音频、视频文件等资料的版权归版权所有人所有,本站采用的非本站原创文章及图片等内容无法一一和版权者联系,如果本网所选内容的文章作者及编辑认为其作品不宜上网供大家浏览,或不应无偿使用,请及时用电子邮件或电话通知我们,以迅速采取适当措施,避免给双方造成不必要的经济损失。
相关阅读
首档反诈题材社交推理游戏综艺《云端档案市》大年初一优酷独家上线
2024.02.18
面膜男士排行榜前十名!口碑比较好的补水面膜排行榜前十名!
2023.10.19
黔东南州2023年(下半年)机动车辆理赔服务质量现场测评情况通报
2023.10.19
Ookla发布Q3中国市场网速测试报告:广电5G中位数下载速度最快
2023.10.19
realme 真我 GT5 手机开启“类 DC 调光”内测招募,补齐屏幕短板
2023.10.19
小米 Redmi 产品经理吴昊:Note 13 Pro + 手机通过 IP69 级测试
2023.10.19