UniFi-Geräte haben private Videos an die Konten anderer Benutzer gestreamt

Benutzer von UniFi, der beliebten drahtlosen Gerätereihe des Herstellers Ubiquiti, haben berichtet, dass sie private Kamera-Feeds von den Geräten anderer Benutzer empfangen und steuern, wie Beiträge auf der Social-Media-Site Reddit in den letzten 24 Stunden zeigen.

„Meine Frau hat kürzlich eine Benachrichtigung von UniFi Protect erhalten, die ein Bild einer Überwachungskamera enthielt“, sagte ein Reddit-Benutzer erwähnt. „Aber hier ist das Dilemma: Diese Kamera gehört nicht uns.“

Sorgen und Sorgen hervorrufen

Der Beitrag enthielt zwei Fotos. Das erste zeigte eine an das Telefon der Person gesendete Benachrichtigung, dass der UDM Pro, ein Netzwerkcontroller und Gateway, der von technikaffinen Verbrauchern verwendet wird, eine Person erkannt hatte, die sich im Hinterhof bewegte. Ein von einer angeschlossenen Überwachungskamera aufgenommenes Standvideo zeigte ein dreistöckiges Haus, umgeben von Bäumen. Das zweite Bild zeigte das Dashboard des Reddit-Benutzers. Das angeschlossene Gerät des Benutzers war ein UDM SE und das aufgenommene Video zeigte ein völlig anderes Zuhause.

Weniger als eine Stunde später antwortete ein anderer Reddit-Benutzer, der im selben Thread postete: „Also, sehr interessant, dass Sie das gepostet haben. Ich wollte gerade posten, dass sich jemand heute Morgen auf unifi.ui.com angemeldet hat, als ich ein anderes Konto angemeldet habe.“ Genau! Meine E-Mail-Adresse stand oben rechts, aber UDM Pro gehört jemand anderem! Ich kann auf dem Gerät navigieren und Einstellungen anzeigen und ändern! Großartig!!“

Zwei weitere Personen meldeten sich im selben Thread über ein ähnliches Verhalten bei ihnen.

Am vergangenen Tag wurden weitere Reddit-Threads veröffentlicht, in denen UniFi-Benutzer berichteten, dass sie sich mit privaten Geräten oder Feeds von anderen verbunden hätten Hier Und Hier. Der erste berichtete, dass der Reddit-Poster vollen Zugriff auf das System einer anderen Person erhalten habe. Der Beitrag enthielt zwei Screenshots, die zeigten, dass es sich laut Aussage des Posters um ein Video handelte, das für ein unbekanntes Unternehmen aufgenommen wurde. Der andere Poster berichtete, er habe sich in sein Ubiquiti-Kontrollpanel eingeloggt, um die Systemsteuerungen einer anderen Person zu finden. „Am Ende habe ich mich abgemeldet, meine Cookies gelöscht usw. und jetzt sieht es für mich gut aus …“, schrieb der Poster.

Jemand anderes hat das gleiche Problem unter gemeldet Post Es wurde am Donnerstag im Ubiquiti Community Support Forum veröffentlicht, wo über diese Ars-Geschichte berichtet wurde. Die Person berichtete, dass sie sich täglich bei der UniFi-Konsole anmeldet.

„Aber dieses Mal wurden mir 88 Controller von einem anderen Konto angeboten“, schrieb die Person. „Ich hatte vollen Zugriff auf diese Controller, genau wie auf meine eigenen Controller. Dies wurde erst gestoppt, als ich ein Browser-Update erzwang und meine Controller erneut gerendert wurden.“

Überall am Donnerstag Er sagte Es hat den Fehler identifiziert und die Fehler behoben, die ihn verursacht haben.

„Konkret wurde dieses Problem durch ein Upgrade unserer UniFi Cloud-Infrastruktur verursacht, das wir inzwischen behoben haben“, schrieben Beamte. Sie fuhren fort:

1. Was ist passiert?

1.216 Ubiquiti-Konten („Gruppe 1“) wurden fälschlicherweise einer separaten Gruppe von 1.177 Ubiquiti-Konten („Gruppe 2“) zugeordnet.

2. Wann ist das passiert?

13. Dezember, 6:47 bis 15:45 Uhr UTC.

3. Was bedeutet das?

Während dieser Zeit erhielt eine kleine Anzahl von Benutzern der Gruppe 2 Push-Benachrichtigungen auf ihren Mobilgeräten von den Konsolen, die einer kleinen Anzahl von Benutzern der Gruppe 1 zugewiesen waren.

Darüber hinaus wurde während dieser Zeit möglicherweise einem Benutzer der Gruppe 2, der versuchte, sich bei seinem Konto anzumelden, vorübergehender Fernzugriff auf das Konto der Gruppe 1 gewährt.

Verständlicherweise bereiten die Berichte den Benutzern der UniFi-Produkte, zu denen drahtlose Zugangspunkte, Switches, Router, Controller, VoIP-Telefone und Zugangskontrollprodukte gehören, Sorge und sogar Sorge. Als über das Internet zugängliche Gateways zu den lokalen Netzwerken der Benutzer bieten UniFi-Geräte eine Möglichkeit, auf Kameras, Mikrofone und andere sensible Ressourcen im Haus zuzugreifen.

Ein Forumsteilnehmer scherzte: „Ich denke, ich sollte jetzt aufhören, nackt durch mein Haus zu laufen.“

Man muss Ubiquiti zugute halten, dass die Mitarbeiter des Unternehmens proaktiv auf die Meldungen reagierten und andeuteten, dass sie die Meldungen ernst nahmen und frühzeitig mit der aktiven Untersuchung begannen. Die Mitarbeiter sagten, das Problem sei behoben worden und es komme nicht mehr zu Kontoverwechslungen.

Es ist hilfreich, sich daran zu erinnern, dass diese Art von Verhalten – die legitime Anmeldung bei einem Konto, nur um dann Daten oder Steuerelemente zu finden, die zu einem völlig anderen Konto gehören – so alt ist wie das Internet. Aktuelle Beispiele: Der September-Fehler von T-Mobile und ähnliche damit verbundene Störungen Chase Bank, Virginia Banks I, KreditkarmaUnd Sprint.

Die genauen Ursachen für diese Art von Systemfehler variieren von Vorfall zu Vorfall, betreffen jedoch häufig die „mittlere Box“-Hardware, die sich zwischen den vorderen und hinteren Geräten befindet. Um die Leistung zu verbessern, speichern Middleboxen bestimmte Daten, einschließlich der Anmeldeinformationen kürzlich angemeldeter Benutzer. Wenn eine Nichtübereinstimmung auftritt, können die Anmeldeinformationen eines Kontos einem anderen Konto zugeordnet werden.

In einer E-Mail sagte ein Ubiquiti-Beamter, dass die Mitarbeiter des Unternehmens immer noch „Informationen sammeln, um eine genaue Einschätzung abzugeben“.