小米滑板车M365被爆含有远端攻击漏洞
报价宝综合消息小米滑板车M365被爆含有远端攻击漏洞
![]()
图片来源:
小米科技
美国行动安全业者Zimperium揭露，小米科技旗下的米家电动滑板车含有远端攻击漏洞，将允许骇客自远端锁住滑板车，或是无预警地将滑板车刹车或加速。
这款含有漏洞的滑板车型号为Xiaomi M365，它是台可折叠的电动滑板车，最高时速为每小时25公里，售价1,999元人民币（约9,210元新台币），在2017年曾获得全球多项知名设计奖的肯定。
Zimperium平台研究总监Rani Idan说明，米家电动滑板车允许使用者透过程式与蓝牙来操控它的功能，诸如防盗系统、巡航定速、环保模式，或是用来更新固件等，且每台滑板车都受到密码的保护。
然而，Idan却发现，滑板车的认证程序并未正确地导入密码机制，让密码只于应用程序端验证，滑板车本身却未跟上其验证状态。根据Idan向Wired的说明，当他们以蓝牙存取电动滑板车时，并未被要求输入密码或执行其它认证，这使得他们得以执行所有功能，包括植入恶意固件。
Zimperium已打造一概念性验证程式，能够以手机远端启动防盗系统，锁住附近的米家电动滑板车，甚至可锁住远在100米外的滑板车，并已释出供研究人员评估，此外，Zimperium也已成功开发出可用来加速滑板车的恶意固件，但为安全考量而不准备公开。
小米在今年1月底收到Zimperium通知时，透露内部已得知此一问题，但这是个与第三方业者合作的产品，小米正尝试与对方讨论解决方案。
Idan则说，此一安全漏洞仍然需要小米或其合作对象负责修补，使用者端并无轻易修复之道。
