Check Point 警告：智慧照明有漏洞，可成為駭客攻擊的工具

現代人家中越來越多智慧家電產品，像是智慧音箱、智慧冰箱、智慧電視或智慧照明，而網路安全解決方案廠商 Check Point，則是針對家中有採用智慧照明的消費者做出警告。Check Point 指出智慧照明產品存在漏洞，駭客將可利用此漏洞接管智慧燈泡及其橋接器，進而將勒索軟體或其他惡意軟體傳播到家中網路。



Check Point 研究了飛利浦 Hue 智慧燈泡和橋接器，進而發現其中的漏洞 CVE-2020-6007，允許攻擊者透過攻擊使用 ZigBee 低功耗無線協定來控制物聯網的設備，藉此從遠端侵入網路。不過新一代 Hue 燈泡現已修復此漏洞。

至於駭客可能會如何利用相關漏洞，Check Point 也舉出駭客攻擊的可能場景：

1.攻擊者控制燈泡的顏色或亮度，讓使用者誤以為燈泡出現故障。該燈泡在使用者的 App 中顯示為「無法連接」，讓使用者嘗試對其進行「重置」。
2.重置燈泡的唯一方法是將它從App中刪除，然後命令橋接器重新連接燈泡。
3.橋接器連接受攻擊的燈泡，使用者將其重新新增到網路中。
4.攻擊者控制裝有更新韌體的燈泡並使用 ZigBee 協定漏洞向橋接器發送大量資料，以觸發堆積緩衝區溢位（heap-based buffer overflow）。此外，這些資料還允許攻擊者在橋接器上安裝惡意韌體，進而連接到目標企業或家庭網路。
5.惡意韌體連接回攻擊者，並借助已知漏洞（如EternalBlue），透過橋接器侵入目標 IP 網路，傳播勒索軟體或間諜軟體。

針對智慧照明的漏洞，Check Point 表示相關研究表明就算是最不起眼的設備（例如燈泡）也會被駭客用於接管網路或惡意軟體植入，因此不論是企業或個人，都必須使用最新修補程式來更新設備，並將其與網路上的其他設備隔離，以限制惡意軟體的潛在傳播，進而保護自身免於潛在攻擊的威脅。