Verschillende Amazon-apparaten, zoals de slimme Echo-speakers en Kindles, waren tot voor kort kwetsbaar voor wifiaanvallen die al in 2017 bekend waren. Er is inmiddels een patch beschikbaar om het lek te dichten.
Onderzoekers van ESET vonden de kwetsbaarheden in ieder geval in de eerste generatie Amazon Echo-speakers en in de achtste generatie Kindles. Hoeveel daarvan in Nederland zijn verkocht, is niet bekend; zeker de oude Echo-speakers waren voornamelijk populair in Amerika. Aanvallers konden het lek uitbuiten om zo data te ontsleutelen, en wachtwoorden en sessiecookies te onderscheppen.
De apparaten waren kwetsbaar voor de Krack-kwetsbaarheid. Die stamt uit 2017. Met die key reinstallation attacks kunnen aanvallers wifiverkeer aflezen dat met wpa2 is versleuteld. De onderzoekers maakten specifiek gebruik van twee kwetsbaarheden in de manieren waarop de pairwise-sleutel en de groepssleutel in de four-way handshake werden opgezet. Zo wisten zij de sleutels te herinstalleren om zo de communicatie af te luisteren. Daarnaast vonden de onderzoeker een andere kwetsbaarheid die niet aan KRACK gerelateerd was. Daarbij was het mogelijk een denial-of-service-aanval uit te voeren op het apparaat.
Omdat het lek inmiddels al meer dan twee jaar oud is, is het in de meeste apparaten wel gerepareerd. ESET bracht Amazon in oktober vorig jaar op de hoogte van het lek. Inmiddels is er een update uit voor de apparaten. Amazon heeft een nieuwe versie van wpa_supplicant uitgebracht. Gebruikers moeten die wel zelf nog updaten.
Bron: Tweakers.net