用Sonos 设备边听音乐边工作?小心泄露个人和公司信息

 聚焦源代码安全，网罗国内外最新资讯！

翻译：360代码卫士团队

趋势科技公司指出，联网 Sonos Play:1 扬声器中出现一个漏洞，可被滥用访问用户信息。

Sonos（搜诺思）成立于2002 年，总部位于美国加利福尼亚州圣巴巴拉市，主要经营一体化无线智能音响、智能家庭影院音响、无线智能音响连接器设备。Sonos由音乐爱好者创立，服务于更多的音乐爱好者，是世界领先的家庭智能无线音响制造商。

攻击者通过利用这个漏洞可获知用户的音乐偏好、获取他们的邮件地址甚至是获悉用户的住址以及是否在家。另外，攻击者可在设备上播放录好的信息诱骗目标下载恶意软件。

访问

个人音乐信息无需认证

趋势科技公司的研究人员分析 Sonos 设备时发现该设备仅开放了三个端口而设备上的 Sonos 应用指向一个特定网站，多数通信在端口TCP/1400上执行。

研究人员查看设备上具体的 /status URI 路径后发现很多子页是通过简单的网站显示的。因此，访问所播放的音轨或者设备知道的音乐库信息并不需要任何认证步骤。

趋势科技发布技术分析文章称，该网站会泄露用户个人信息如和音频流服务相关的邮件并暴露调试功能，包括“通过一个简单网址路由跟踪、ping、甚至发布 mDNS 通告。”状态页还能暴露其它信息。

企业网络也可遭攻击

研究人员还发现了其它一些合理的攻击场景，攻击者不仅可以攻击家庭用户还能攻击企业网络。

获悉用户的音乐偏好后，攻击者能够构造钓鱼邮件比你发送给用户。在工作场所，此类攻击可用于发现连接到同一网络上的其它物联网设备并找到其中的漏洞从而攻陷网络。

通过配有多个 WiFi 地理位置来源的网站，攻击者也能找到用户的住址（研究人员通过查看设备试图在安全过程中能访问的 WAPs 判断设备位置）以及当扬声器激活或禁用时用户是否在家。

研究人员表示，家庭和企业用户应该警惕这种涉及网络和物理元素的混合攻击。泄露临场数据的设备不仅会让用户更加轻易地做出预测，而且还将用户置于实际风险之中。

利用从状态页发现的信息，包括机型号码和序列号码，攻击者能够干扰设备、甚至是播放包含误导信息的构造状态信息。

攻击者还能够向用户发送自定义邮件（向跟音乐流应用账户绑定的地址发送）并诱骗他们下载伪装成软件更新的恶意软件。使用发现的其它目标信息，攻击者能够在信息中添加自定义信息增加信息的说服力。

问题并未完全修复

研究人员从 Shodan 搜索服务中找到约暴露在互联网上的5000台 Sonos 设备。厂家在得到研究人员的通知后解决了这些问题，不过研究人员表示某些问题仍然会对用户造成影响。

研究人员总结称，不安全的联网设备所带来的问题不仅局限于家庭用户，攻击场景表明，看似安全的物联网设备被引入公司网后问题还扩展到工作环境中。不管安装这些设备是为了提高生产力还是员工自己带到工作场所的，不应忽视泄露信息的、不安全设备带来的问题。

关联阅读

物联网蠕虫能让城市漆黑一片

IoT扫描器：一款用于扫描物联网设备漏洞的工具

本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。

原文链接:

http://www.securityweek.com/internet-connected-sonos-speakers-leak-user-information