Ev temizliğinde kullanılan Shark ve Ninja marka robot süpürgelerde kritik bir güvenlik açığı tespit edildi. Araştırmacı tokay0, Mart ayından beri şirkete bildirdiği bu zafiyetin halen giderilmediğini açıkladı. Söz konusu açık, saldırganların bulut tabanlı yönetim sistemi üzerinden farklı modelleri hedef alarak kontrolü ele geçirmesine olanak tanıyor.
Saldırının Mekanizması ve Etki Alanı
İncelenen güvenlik açığı, AWS IoT platformundaki cihaz kimlik doğrulama ve politika yapılandırmasındaki hatadan kaynaklanıyor. Robot süpürgelerin sertifikalarında, cihaz özelinde sınırlandırılması gereken izinler yanlış konfigüre edilmiş; bu da, bir cihazın sertifikasıyla bulut yöneticisine cihazlar adına komut gönderilebilmesine yol açıyor. Örneğin, araştırmacı tokay0, RV2320EDUS modelinin sertifikasını kullanarak farklı modellere ait seri numaralarını toplayabildi ve AV1102ARUS modelinde ters kabuk (reverse shell) açarak uzaktan komut çalıştırmayı başardı.
Bu durum, cihazların çalıştırdığı Exec_Command alanı üzerinden gerçekleştiriliyor. AWS IoT gölgesinde yer alan bu alan, uygulama demonu tarafından okunup, 1000 byte altındaki komutlar popen fonksiyonuyla işletiliyor. Böylece kötü niyetli biri uzaktan cihazlara istediği komutu gönderip çalıştırabiliyor. Üstelik bellek hatası, yetki yükseltme ya da parola kırma gibi karmaşık adımlar gerekmiyor.
Güvenlik Politikalarındaki Eksiklik
AWS tarafından önerilen IoT cihaz politikası kurallarına uyulmadığı için zafiyet ortaya çıktı. Normalde politika, cihazın sadece kendi adına gelen istekleri kabul edecek şekilde sınırlandırılırken, mevcut politika $aws/things/* gibi geniş kapsamlı izinler içeriyor. Bu durum, IOT_POLICY_OVERLY_PERMISSIVE_CHECK olarak kritik seviyede uyarılıyor. Saldırganların böyle bir sertifikayla tüm cihazların durum bilgilerini okuyup değiştirebilmesi mümkün hale geliyor.
Ancak her cihaz bu izinlere sahip değil. Tokay0, AV1102ARUS modelinin sertifikasının doğru sınırlandırıldığı ve bu nedenle wildcard aboneliği yapamadığını, zafiyetin daha çok eski modellerde yoğunlaştığını belirtti. Yani saldırının çapı tüm cihazları değil, hatalı politika taşıyanları kapsıyor.
İletişim ve Düzeltme Süreci
Mart ayında başlayan iletişim sürecinde SharkNinja, raporu aldığını onayladı ama dört ayı aşkın süredir güvenlik açığına yönelik somut bir adım atılmadı. Temmuz başında araştırmacıya düzeltmenin tarihini bildireceği sözü verildi ancak bu gerçekleşmedi. Tokay0, 13 Temmuz’da açık yöntemini kamuya duyurdu.
Firma, zafiyetin önemini hafifletmeye çalıştı ve CVE numarası verilmesinin gerekliliğini sorguladı. Ne yazık ki, şu an bu açıklığa ait resmi bir CVE kaydı yok. Böylece güvenlik ekipleri ve kurumlar için takibi zorlaşıyor.
Düzeltme ve Önlemler
Buradaki kritik nokta, sorunun robotun firmware’inde değil, SharkNinja’nın AWS tarafındaki politika konfigürasyonunda olması. AWS’nin önerdiği çözüm, mevcut politika sürümünün uygun şekilde sınırlandırılmış yeni bir versiyonla değiştirilmesi ve bunun varsayılan hale getirilmesi. Bu işlem, sertifikaların yeniden düzenlenmesini gerektiriyor ancak cihazların yazılım güncellemesi yapılmasına ihtiyaç yok.
Kullanıcılar için tek pratik önlem, cihazı Wi-Fi ağından ayırmak. Ancak bu da uygulama kontrolü, zamanlama ve harita özelliklerini devre dışı bırakıyor. Bu durum, IoT tabanlı cihazlarda bulut güvenliğinin ne denli hayati olduğunu bir kez daha gösteriyor.
Teknik Özet
- Hedef cihazlar: Shark ve Ninja robot süpürgeler
- Zafiyet türü: Yanlış AWS IoT politika izinleri
- Saldırı yöntemi: AWS IoT cihaz gölgesinde
Exec_Commandalanı istismarı - Etkilenen cihazlar: Yaklaşık %44’ü komut çalıştırma yeteneğine sahip (1.5 milyon cihazın 673 bini)
- Önerilen savunma: AWS politika versiyonunun sınırlandırılması, sertifika yenileme, Wi-Fi bağlantısının kesilmesi
Pratik Öneriler
- IoT cihazlarınızın bulut erişim politikalarını düzenli denetleyin.
- AWS IoT Device Defender gibi araçlarla aşırı izinleri tespit edin.
- Sertifikaların bölge ve cihaz bazında sınırlandırıldığından emin olun.
- Yetkisiz komut çalıştırmayı engellemek için logları ve network trafiğini izleyin.
- Firmware değil, bulut tarafı konfigürasyonlarını öncelikli güncelleyin.
- Wi-Fi bağlantısını gerektiğinde geçici olarak devre dışı bırakmayı değerlendirin.
Bu olay, bulut tabanlı IoT cihaz yönetiminde en temel güvenlik önlemlerinin bile ihmal edilmesinin ne tür riskler doğurabileceğini gözler önüne seriyor. Özellikle milyonlarca cihazı kapsayan bu açık, hem son kullanıcıları hem de işletmeleri tehdit ediyor. Siber güvenlik ekipleri için bulut güvenliği politikalarının sıkı tutulması ve düzenli denetlenmesi artık vazgeçilmez.