安全漏洞讓CSC ServiceWorks的洗衣房服務可以無限免費用

2024年05月18日17:45:13 科技 1491

加州大學聖克魯茲分校的兩名學生研究員亞歷山大-舍布魯克(Alexander Sherbrooke)和伊科夫-塔拉嫩科(Iakov Taranenko)發現了一個安全漏洞,該漏洞使 CSC ServiceWorks 運營的 100 多萬台洗衣機面臨免費贈送洗衣服務的風險。

安全漏洞讓CSC ServiceWorks的洗衣房服務可以無限免費用 - 天天要聞

通常情況下,想要使用該公司服務的人需要在手機上安裝 CSC Go 應用程序,加載餘額,然後在附近的洗衣機上開始洗衣循環。任何具備必要知識的人都可以利用這個漏洞,通過遠程向這家擁有 90 年歷史的公司在美國、加拿大和歐洲的住宅、酒店和大學校園裡運營的聯網洗衣機發送指令,獲得免費洗衣服務。

事情要從今年 1 月初說起,當時 Sherbrooke 正帶着筆記本電腦坐在地下室的洗衣房裡。在賬戶中沒有餘額的情況下,他嘗試運行一個代碼腳本,命令面前的洗衣機運行一個洗衣周期,結果成功了。此外,學生們還在自己的一個洗衣賬戶中添加了數百萬美元,這些錢也出現在了 CSC Mobile Go 應用程序中。

據這兩名學生稱,該公司仍對漏洞的存在和修復要求一無所知。1 月初,他們試圖通過多種渠道聯繫 CSC ServiceWorks,如通過在線聯繫表單發送多條信息和撥打電話,但均無人接聽。

該公司沒有專門的安全頁面來報告安全漏洞。雖然 CSC ServiceWorks 沒有回應學生研究人員,但在他們報告發現後,CSC ServiceWorks 刪除了大量賬戶餘額。不過,該漏洞仍未修復,他們可以增加任何金額。目前尚不清楚該公司是否正在進行內部修復。

根據兩人的說法,該漏洞存在於移動應用程序使用的 API 中,該 API 可幫助設備和應用程序通過互聯網相互通信。他們發現,他們可以直接向 CSC 的服務器發送命令,從而躲過應用程序的安全檢查。

學生研究人員告訴本刊,通過直接訪問 API 和公司公布的服務器命令公開列表,他們可以找到"CSC ServiceWorks 連接網絡上的每一台洗衣機"並與之交互。

安全研究人員通常要等三個月才會公開他們的研究成果。這對學生說,他們等得更久,本月初在大學網絡安全俱樂部展示了他們的發現。他們還與卡內基梅隆大學的 CERT 協調中心分享了他們的發現,該中心提供指導並幫助安全研究人員向供應商披露漏洞。

科技分類資訊推薦

梅雨期將至,如何快速了解天氣變化?這份應用工具包請收好 - 天天要聞

梅雨期將至,如何快速了解天氣變化?這份應用工具包請收好

上海昨日官宣,預計19日入梅。剛入梅,上海就將遭遇一場開梅暴雨!19-20日有大雨到暴雨過程,並伴有雷電、短時強降水和雷雨大風。本市入梅後降水頻率和強度將明顯增加,根據上海市氣候中心預測,今年本市梅雨量偏多。那麼,如何快速掌握氣候變化?來看市大數據中心提供的應用工具包19-20日,上海有大雨到暴雨過程,並...
618筆記本電腦怎麼選,華為智慧PC創造AI新體驗 - 天天要聞

618筆記本電腦怎麼選,華為智慧PC創造AI新體驗

618購物狂歡節已經如火如荼地展開,作為上半年力度最大的購物節,相信618是不少人採購“大件”商品的節點。尤其是筆記本電腦,作為人們學習工作等場景的重要工具,無論是即將步入大學或初入職場,還是“預謀”換新已久的朋友們,趁此時機入手是再好不過了。那麼,面對市面上眾多的筆記本產品,哪款更加值得入手呢?HUAWEI MateBook家...
谷歌在印度推出Gemini手機應用,支持英語和九種印度語言 - 天天要聞

谷歌在印度推出Gemini手機應用,支持英語和九種印度語言

6月18日,谷歌在官網的博客中表示,在印度推出Gemini手機應用,支持英語和九種印度語言,包括印地語、孟加拉語等,此外還會推出印度版的Gemini Advanced。對於在印度推出應用程序,谷歌並未解釋太多,但在博客中提及了印度“強大的移動優先文化”。Gemini 是谷歌旗下DeepMind實驗室推出的大模型,最初於2023年12月發布1.0版...
ETF今日收評 | 智能汽車、通信、基建等相關ETF漲超2% - 天天要聞

ETF今日收評 | 智能汽車、通信、基建等相關ETF漲超2%

每經記者:葉峰    每經編輯:彭水萍市場全天震蕩反彈,三大指數小幅上漲。盤面上,車路雲概念股再度爆發,低空經濟概念股表現活躍,CPO概念股開盤沖高,蘋果概念股午後走強。下跌方面,豬肉股展開調整。總體上個股漲多跌少,全市場超3900隻個股上漲。ETF漲跌幅方面,智能汽車、通信、基建等相關ETF漲超2%。有券商表示...
今年80%燃油車4S店虧損;汽服店“10家有8家不賺錢”…丨32組數據看車後生存現狀 - 天天要聞

今年80%燃油車4S店虧損;汽服店“10家有8家不賺錢”…丨32組數據看車後生存現狀

最近,汽車服務世界走訪市場時聽經銷商朋友說了一個情況:他的修理廠客戶裡面,10家有8家不賺錢,有些貸款收不回來,老闆手裡是真沒錢,只能分次一點一點要;而他最怕的事情,也從以前“修理廠賒賬後催賬難”變成了“老闆不打招呼就關門了”,而他也感慨“今年真的太慘了”。
駕照到期該如何換證?過期忘換怎麼辦? - 天天要聞

駕照到期該如何換證?過期忘換怎麼辦?

眾所周知,我們的駕照都存在一個時間限制,如果超過了這個時間沒去換證,那麼很有可能會被註銷,參考《機動車駕駛證申領和使用規定》的相關條款,機動車駕駛人應在駕駛證有效期滿前90天進行換證。
似與不似間蘊含的“汽車邏輯”——青島試駕全新一代邁騰 - 天天要聞

似與不似間蘊含的“汽車邏輯”——青島試駕全新一代邁騰

其實,青島在山東的“特殊”又何止是仲夏的天氣!作為“海濱鄒魯”,它比山東其他兄弟城市更多了幾分時尚和浪漫。所以,許多人稱青島為“最不像山東的城市”。然而,與這裡的人相接觸你會發現,其質樸依然有着“孔孟之鄉”的味道,從所謂“山東”的“似與不似”間去探尋這個城市的
10萬級SUV“價值王”,奔騰T90王炸出圈 - 天天要聞

10萬級SUV“價值王”,奔騰T90王炸出圈

空間小、車機慢、動力弱、體驗差?家用SUV用車痛點奔騰T90“一車全解決”。奔騰T90再次打出“王炸”,僅10萬元起,就可擁有A+級SUV的越級新體驗,更有多重福利加持。
72V20Ah的電池能跑100公里?別再被商家忽悠了,告訴你真實的數據 - 天天要聞

72V20Ah的電池能跑100公里?別再被商家忽悠了,告訴你真實的數據

車主非常關注電動車的續航里程,在使用電動車的時候,實際騎行的續航與商家宣傳的續航有很大的差距,比如有的商家宣傳72V20Ah的電池能夠跑100公里,但是實際騎行過程中卻只能跑五六十公里,這是商家在說謊,還是電動車有問題呢?為了不再被商家忽悠,今天就來告訴你真實