قبل بضعة أيام، عندما حاول أحد عشاق الأعمال اليدوية التحكم في الروبوت الكاسح DJI Romo باستخدام وحدة تحكم ألعاب PS5، تسبب عن طريق الخطأ في ثغرة أمنية خطيرة. ونتيجة لذلك، تعرض حوالي 6700 روبوت من هذا النوع حول العالم للوصول غير المصرح به، مما سمح لهم بمشاهدة لقطات الكاميرا في الوقت الفعلي، والحصول على مخططات أرضية ثنائية الأبعاد للمنزل، وحتى تحديد مواقع المعدات.
بعد أن كشفت The Verge عن الحادث، ردت DJI رسميًا قائلة إنها أكملت إصلاح الثغرة الأمنية.
تم اكتشاف الثغرة الأمنية بواسطة سامي أزدوفال. أخبر وسائل الإعلام أن نيته الأصلية كانت مجرد استخدام وحدة تحكم PS5 للتحكم في DJI Romo التي تم شراؤها حديثًا، لذلك استخدم برنامج Claude Code لإجراء هندسة عكسية لبروتوكول الاتصال بين الروبوت وخادم DJI، وقام بإنشاء تطبيق للتحكم عن بعد محلي الصنع.
والمثير للدهشة أن أذونات التطبيق كانت خارجة عن السيطرة بعد الاتصال بالخادم. لقد استخرج فقط الرمز المميز لجهازه الخاص وتلقى ردًا من حوالي 7000 وحدة رومو حول العالم.
شاهد مراسل من The Verge مظاهرة الضعف على الهواء مباشرة. وفي غضون 9 دقائق، سجل حاسوب أزدوفار 6,700 جهاز DJI في 24 دولة وجمع أكثر من 100,000 رسالة للجهاز، تغطي الأرقام التسلسلية للجهاز، والغرف النظيفة، والمشاهد التي تمت مشاهدتها، ومسافة القيادة، ووقت الشحن، والعقبات التي تمت مواجهتها، وما إلى ذلك.
خريطتان لمساحة معيشة توماس. الجزء العلوي هو الخريطة غير المصادقة التي تم الحصول عليها من خادم DJI؛ وفي الأسفل الخريطة التي يراها صاحب المنزل على هاتفه المحمول.
باستخدام الرقم التسلسلي للجهاز المكون من 14 رقمًا فقط الذي قدمه زميلي توماس ريكر، يمكنني التحقق بدقة من حالة الروبوت الذي ينظف غرفة المعيشة ونسبة الـ 80% المتبقية من البطارية، وكذلك الحصول على المخطط الدقيق لأرضية منزل زميلي.
بالإضافة إلى ذلك، كان قادرًا على تجاوز رقم التعريف الشخصي (PIN) الخاص بأمان الروبوت الخاص به لعرض اللقطات في الوقت الفعلي، بل وشارك نسخة للقراءة فقط من التطبيق مع Gonzague Dambricourt، مدير التكنولوجيا في شركة استشارات تكنولوجيا المعلومات الفرنسية، والذي يمكنه عرض لقطات كاميرا Romo الخاصة به عن بعد دون إقران الجهاز.
وأكد أزدوفار أنه لم يقتحم خادم DJI. "لم أنتهك أي قواعد أو أكسر أو أستخدم القوة الغاشمة لأي نظام." لقد كان الأمر مجرد أن الرمز المميز الذي استخرجه لجهازه الخاص، والذي كان من المفترض أن يكون المفتاح للتحقق من أذونات الوصول إلى جهازه، قد أخطأ في الحكم عليه من قبل خادم DJI باعتباره إذنًا عامًا، وبالتالي تسرب البيانات على آلاف الأجهزة حول العالم.
وكشف أيضًا أنه سيقوم بمسح جميع البيانات المكتسبة في كل مرة يقوم فيها بإغلاق الأداة ولم يستغل الثغرة لانتهاك خصوصية الآخرين.