تقوم أجهزة UniFi ببث فيديو خاص إلى حسابات المستخدمين الآخرين

أبلغ مستخدمو UniFi، وهو خط شائع من الأجهزة اللاسلكية من الشركة المصنعة Ubiquiti، في منشورات على موقع التواصل الاجتماعي Reddit على مدار الـ 24 ساعة الماضية أنهم يتلقون ويتحكمون في موجزات الكاميرا الخاصة من الأجهزة المملوكة لمستخدمين آخرين.

كتب أحد مستخدمي Reddit: “تلقت زوجتي مؤخرًا إشعارًا من UniFi Protect يحتوي على صورة من كاميرا أمنية”. ذكرت. “ومع ذلك، إليك المعضلة: هذه الكاميرا ليست ملكًا لنا.”

يثير القلق والتوتر

احتوى المنشور على صورتين. UTM Pro، وحدة تحكم الشبكة وبوابة الشبكة التي يستخدمها المستهلكون المتمرسون في مجال التكنولوجيا، أظهرت لأول مرة إشعارًا على هاتف الشخص بأنه اكتشف شخصًا يتحرك في الفناء الخلفي. وأظهرت لقطة ثابتة من فيديو كاميرا المراقبة المرفقة، المنزل المكون من ثلاثة طوابق محاطًا بالأشجار. وأظهرت الصورة الثانية لوحة معلومات يملكها مستخدم Reddit. كان الجهاز المتصل الخاص بالمستخدم هو UDM SE، وأظهر مقطع الفيديو الذي تم التقاطه منزلاً مختلفًا تمامًا.

وبعد أقل من ساعة، رد مستخدم Reddit آخر بالنشر في نفس الموضوع: “لذا من المثير للاهتمام أنك نشرت هذا، عندما ذهبت إلى unifi.ui.com هذا الصباح، كنت على وشك نشر أنني قمت بتسجيل الدخول مع شخص ما. حساب شخص آخر تماما! كان بريدي الإلكتروني في أعلى اليمين، لكن UDM Pro خاص بشخص آخر! يمكنني التنقل وعرض وتغيير الإعدادات على الجهاز! مرعب!!”

أخذ شخصان آخران نفس الموضوع للإبلاغ عن حدوث سلوك مماثل لهما.

تشير سلاسل Reddit الأخرى المنشورة في اليوم الماضي إلى أن مستخدمي UniFi يتصلون بالأجهزة الشخصية أو الخلاصات المملوكة للآخرين. هنا و هنا. أبلغ ملصق Reddit لأول مرة عن حصوله على حق الوصول الكامل إلى جهاز كمبيوتر شخص آخر. وتضمن المنشور لقطتين من الشاشة تظهران ما قال الملصق إنه مقطع فيديو تم التقاطه لعمل غير مصرح به. أبلغ ملصق آخر عن تسجيل الدخول إلى لوحة تحكم Ubiquiti الخاصة به للعثور على عناصر التحكم في النظام لشخص آخر. وكتب الملصق “لقد انتهيت من تسجيل الخروج وتنظيف ملفات تعريف الارتباط وما إلى ذلك. أنا بخير الآن…”.

أبلغ شخص آخر عن نفس المشكلة على أ بريد كما تم الإبلاغ عن قصة آرس هذه، تم نشرها في منتدى دعم مجتمع Ubiquiti يوم الخميس. أبلغ الشخص عن تسجيل الدخول إلى وحدة تحكم Unifi العادية الخاصة به كل يوم.

وكتب الشخص: “لكن هذه المرة حصلت على 88 وحدة تحكم من حساب آخر”. “كان لدي حق الوصول الكامل إلى وحدات التحكم هذه، تمامًا مثل وحدتي. لقد توقف الأمر فقط عندما أجبرت على تحديث المتصفح وظهرت لي وحدات التحكم الخاصة بي مرة أخرى.

في أي مكان يوم الخميس قال لقد اكتشف الخطأ وأصلح الأخطاء التي تسببت فيه.

وكتب المسؤولون: “على وجه التحديد، نتجت هذه المشكلة عن ترقية البنية التحتية للسحابة الموحدة لدينا، والتي قمنا بحلها”. وتابعوا:

1. ماذا حدث؟

تم ربط 1,216 حسابًا على Ubiquiti (“المجموعة 1”) بشكل غير صحيح مع مجموعة منفصلة مكونة من 1,177 حسابًا على Ubiquiti (“المجموعة 2”).

2. متى حدث هذا؟

13 ديسمبر، 6:47 صباحًا إلى 3:45 مساءً بالتوقيت العالمي المنسق.

3. ماذا يعني ذلك؟

خلال هذا الوقت، تلقى عدد صغير من المستخدمين من المجموعة 2 إشعارات الدفع على أجهزتهم المحمولة من وحدات التحكم المخصصة لعدد صغير من المستخدمين من المجموعة 1.

بالإضافة إلى ذلك، إذا حاول مستخدم من المجموعة 2 تسجيل الدخول إلى حسابه خلال هذا الوقت، فمن المحتمل أن يكون حساب المجموعة 1 قد تم منحه حق الوصول المؤقت عن بعد.

تسبب التقارير القلق وحتى القلق لمستخدمي منتجات UniFi، والتي تشمل نقاط الوصول اللاسلكية والمحولات وأجهزة التوجيه وأجهزة التحكم وهواتف VoIP ومنتجات التحكم في الوصول. باعتبارها بوابات يمكن الوصول إليها عبر الإنترنت إلى الشبكات المحلية للمستخدمين، توفر أجهزة UniFi طريقة للوصول إلى الكاميرات والميكروفونات والموارد الهامة الأخرى داخل المنزل.

وقال أحد المشاركين في المنتدى مازحا: “أعتقد أنني يجب أن أتوقف عن التجول عاريا في منزلي الآن”.

يُحسب لشركة Ubiquiti أن موظفي الشركة استجابوا بشكل استباقي للتقارير، وأخذوا التقارير على محمل الجد وبدأوا في التحقيق بنشاط في وقت مبكر. وقال الموظفون أنه تم حل المشكلة ولن يحدث ارتباك في الحساب مرة أخرى.

ومن الجدير بالذكر أن هذا النوع من السلوك – تسجيل الدخول بشكل قانوني إلى حساب واحد فقط للعثور على البيانات أو عناصر التحكم التي تنتمي إلى حساب مختلف تمامًا – قديم قدم الإنترنت نفسه. ومن الأمثلة الأخيرة: خطأ T-Mobile الفادح في سبتمبر وأخطاء مماثلة بنك تشيس, فيرجينيا بانكس الأولى, كارما الديونو سبرينت.

تختلف الأسباب الجذرية الدقيقة لهذا النوع من أخطاء النظام من حادثة إلى أخرى، ولكنها غالبًا ما تتضمن أجهزة “الصندوق الأوسط” التي تقع بين الأجهزة الأمامية والخلفية. لتحسين الأداء، يقوم Middlebox بتخزين بعض البيانات مؤقتًا، بما في ذلك بيانات اعتماد المستخدمين الذين قاموا بتسجيل الدخول مؤخرًا. يمكن تعيين بيانات الاعتماد لحساب واحد إلى حساب آخر إذا لم تكن متطابقة.

وفي رسالة بالبريد الإلكتروني، قال مسؤول في Ubiquiti إن موظفي الشركة ما زالوا يجمعون “المعلومات لتقديم تقييم دقيق”.