شبح Jooki في الجهاز: استغلال الثغرات الأمنية في مشغل صوت معطل
2025-02-14
بعد إفلاس الشركة المصنعة، أصبح العديد من أجهزة تشغيل الصوت Jooki للأطفال غير قابلة للاستخدام. تُفصّل هذه المقالة الهندسة العكسية لبرامج Jooki الثابتة، وكشف العديد من الثغرات الأمنية، بما في ذلك باب خلفي والقدرة على تنفيذ الأكواد عن بُعد. يحلّل الكاتب البرامج الثابتة، ونظام الملفات، وآلية تحديث Mender OTA، وواجهة خادم HTTP، مُبيّناً كيفية السيطرة على الجهاز. تُعرض طرق لاستغلال هذه الثغرات الأمنية من أجل تحقيق تنفيذ الأكواد عن بُعد عن طريق تعديل ملفات التكوين، واستخدام الأعلام، والاستفادة من آلية تحديث OTA. كما يتضمّن ذلك دعوة للمُنشئ لجعل عمله مفتوح المصدر.
عتاد
تنفيذ أكواد عن بُعد