安全漏洞让CSC ServiceWorks的洗衣房服务可以无限免费用

2024年05月18日17:45:13 科技 1491

加州大学圣克鲁兹分校的两名学生研究员亚历山大-舍布鲁克(Alexander Sherbrooke)和伊科夫-塔拉嫩科(Iakov Taranenko)发现了一个安全漏洞,该漏洞使 CSC ServiceWorks 运营的 100 多万台洗衣机面临免费赠送洗衣服务的风险。

安全漏洞让CSC ServiceWorks的洗衣房服务可以无限免费用 - 天天要闻

通常情况下,想要使用该公司服务的人需要在手机上安装 CSC Go 应用程序,加载余额,然后在附近的洗衣机上开始洗衣循环。任何具备必要知识的人都可以利用这个漏洞,通过远程向这家拥有 90 年历史的公司在美国、加拿大和欧洲的住宅、酒店和大学校园里运营的联网洗衣机发送指令,获得免费洗衣服务。

事情要从今年 1 月初说起,当时 Sherbrooke 正带着笔记本电脑坐在地下室的洗衣房里。在账户中没有余额的情况下,他尝试运行一个代码脚本,命令面前的洗衣机运行一个洗衣周期,结果成功了。此外,学生们还在自己的一个洗衣账户中添加了数百万美元,这些钱也出现在了 CSC Mobile Go 应用程序中。

据这两名学生称,该公司仍对漏洞的存在和修复要求一无所知。1 月初,他们试图通过多种渠道联系 CSC ServiceWorks,如通过在线联系表单发送多条信息和拨打电话,但均无人接听。

该公司没有专门的安全页面来报告安全漏洞。虽然 CSC ServiceWorks 没有回应学生研究人员,但在他们报告发现后,CSC ServiceWorks 删除了大量账户余额。不过,该漏洞仍未修复,他们可以增加任何金额。目前尚不清楚该公司是否正在进行内部修复。

根据两人的说法,该漏洞存在于移动应用程序使用的 API 中,该 API 可帮助设备和应用程序通过互联网相互通信。他们发现,他们可以直接向 CSC 的服务器发送命令,从而躲过应用程序的安全检查。

学生研究人员告诉本刊,通过直接访问 API 和公司公布的服务器命令公开列表,他们可以找到"CSC ServiceWorks 连接网络上的每一台洗衣机"并与之交互。

安全研究人员通常要等三个月才会公开他们的研究成果。这对学生说,他们等得更久,本月初在大学网络安全俱乐部展示了他们的发现。他们还与卡内基梅隆大学的 CERT 协调中心分享了他们的发现,该中心提供指导并帮助安全研究人员向供应商披露漏洞。

科技分类资讯推荐

维修更自由:苹果宣布将增强 iPhone 对第三方显示屏和电池的支持 - 天天要闻

维修更自由:苹果宣布将增强 iPhone 对第三方显示屏和电池的支持

IT之家 6 月 26 日消息,苹果今天发布了一份白皮书,概述了公司在设备可维修性和耐用性方面的政策。苹果在其中透露,iPhone 将在 2024 年晚些时候“更好地支持第三方显示屏和电池”。首先,苹果表示今年晚些时候 True Tone 功能将兼容第三方 iPhone 显示屏:True Tone 功能需要通过校准才能正常工作,由于无法为第三方显示...
支付宝怎么关闭自动充值话费?手把手教你! - 天天要闻

支付宝怎么关闭自动充值话费?手把手教你!

虽然在支付宝开通自动充值话费能保证手机不因欠费而停机,但是有很多人表示会产生莫名扣费,甚至有人出现两次扣费的情况,想要关闭却找不到入口了。那该怎么办呢?今天的视频一定能帮到您,感兴趣的朋友一起来看看吧。
机械革命极光X游戏本细节公布 - 天天要闻

机械革命极光X游戏本细节公布

IT之家 6 月 26 日消息,机械革命旗下主打高性价比的极光系列官宣迎来一位新成员 —— 极光 X 游戏本,该游戏本将采用全新的模具,至高可选择酷睿 i7-14650HX 处理器搭配 GeForce RTX 4070 显卡。
赛力斯怎么抱上华为大腿的 博主:张兴海让CTO亲自送车上门给余承东试车 - 天天要闻

赛力斯怎么抱上华为大腿的 博主:张兴海让CTO亲自送车上门给余承东试车

快科技6月26日消息,谁能想到,数年前还籍籍无名的东风小康,抱上华为大腿,更名赛力斯后,股价一飞冲天,市值一度超过1500亿元,成为中国造车新势力中的龙头品牌。而赛力斯之所以能和华为搭上线,这期间还有一段往年秘事,日前,有博主发视频,将赛力斯和华为合作的初始渊源,给网友讲述了出来。据博主介绍,2020年底时,...
湖北电信天地一体“潮科技”,筑牢防汛安全“堤坝” - 天天要闻

湖北电信天地一体“潮科技”,筑牢防汛安全“堤坝”

极目新闻记者 兰莎通讯员 许国胜 蔡源源6月18日,湖北入梅,梅雨期雨水集中、强度大、致灾风险高,湖北省防办已要求全省各地全力做好“防淹”“防灾”“防险”工作。近日,极目新闻记者走访中国电信湖北公司,现场观看多重保障基站搭建、“卫星通信”、无人机等新型防汛通信装备演练。现场体验5G-A、人工智能、手机直连卫星...
纯电续航318km 2025款岚图FREE 318评测解析 - 天天要闻

纯电续航318km 2025款岚图FREE 318评测解析

在刚过去的5月,岚图汽车累计交付新车4521辆,同比增长51%;1-5月累计交付新车24869辆,同比增长107%,销量稳定攀升。作为岚图汽车旗下的畅销中大型SUV,岚图FREE近期带来了它的全新版本——2025款岚图FREE 318,这款车拥有318km纯电续航,是混动SUV纯电续航最长的车型,综合续航达到1458km,连跨2、3个省市的长途自驾游也...
何俊聪有新职!曾任东莞市麻涌镇镇长 - 天天要闻

何俊聪有新职!曾任东莞市麻涌镇镇长

6月26日上午,东莞市十七届人大常委会第二十二次会议召开,表决通过人事任免事项;其中,任命何俊聪为东莞市信访局局长,免去赵胤的东莞市信访局局长职务。何俊聪。
中国国家版本馆第二批版本捐赠入藏大会举行,万方数据知识服务平台入藏 - 天天要闻

中国国家版本馆第二批版本捐赠入藏大会举行,万方数据知识服务平台入藏

近日,中国国家版本馆第二批版本捐赠入藏大会暨“文瀚聚珍”精品版本展在京举行。本次捐赠包括来自全国有关公藏单位和民间藏家捐赠的1.5万余册/件实物版本和131TB数字版本,呈现历史文化价值高、版本地域广泛、数字内容丰富的特点。作为捐赠代表企业,北京万方数据股份有限公司总经理梁冰出席会议并在捐赠仪式上发言。他表...
OpenAI宣布断供,国产大模型来“平替”? - 天天要闻

OpenAI宣布断供,国产大模型来“平替”?

撰文 | 李信马题图 | TechRadar不久前,在 ChatGPT “崩了”的时候,有中国网友自嘲道,发现登不上账号,都会先卑微地反省下是不是自己的问题,直到 OpenAI 官方发了通知,才确定是对方的问题。而今,情况变得更严峻了。