CVE-2018-11567
Açıklama
2018-04-27 tarihinden önce, Amazon Echo cihazlarındaki reprompt özelliği özel bir Alexa skill tarafından kötüye kullanılabilirdi. Reprompt özelliği, Alexa'nın 8 saniye içinde bir girdi almaması durumunda cihazın bir yeniden istem (reprompt) söyleyebilmesi ve ardından girdi için ek 8 saniye daha beklemesi şeklinde tasarlanmıştır; kullanıcı hala yanıt vermezse mikrofon kapatılır. Güvenlik açığı; boş çıktı konuşması içeren reprompt'ları, özel joker karakterli ("anlamsız") girdi slotlarını ve algılanan konuşmaların günlüğe kaydedilmesini içerir. Kötü niyetle tasarlanmış bir skill yüklendiğinde, bir saldırgan Alexa'nın işlemesi için amaçlanmamış ancak sadece cihazın duyma mesafesinde konuşulmuş ifadelerin dökümlerini elde edebilirdi. NOT: Satıcı şunları belirtmektedir: "Müşteri güveni bizim için önemlidir; güvenlik ve gizliliği ciddiye alıyoruz. Bu tür skill davranışlarını tespit etmek için önlemler aldık ve bu tür skill'leri reddediyor veya engelliyoruz. Bu önlemlerin çalışması için müşterilerin herhangi bir işlem yapmasına gerek yoktur."
Nasıl düzeltilir
- amazon echo_show_firmware2018-04-27 ya da sonraki bir sürüm
- amazon echo_plus_firmware2018-04-27 ya da sonraki bir sürüm
- amazon echo_dot_firmware2018-04-27 ya da sonraki bir sürüm
- amazon echo_spot_firmware2018-04-27 ya da sonraki bir sürüm
- amazon echo_firmware2018-04-27 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| amazon echo_show_firmware | v < 2018-04-27 | 2018-04-27 |
| amazon echo_plus_firmware | v < 2018-04-27 | 2018-04-27 |
| amazon echo_dot_firmware | v < 2018-04-27 | 2018-04-27 |
| amazon echo_spot_firmware | v < 2018-04-27 | 2018-04-27 |
| amazon echo_firmware | v < 2018-04-27 | 2018-04-27 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.