![亚马逊将支付1800美元的漏洞,以检测Hack Kindle电子阅读器 23321_1](/userfiles/21/23321_1.webp)
亚马逊决定支付18,000美元用于检测漏洞利用链,这让攻击者能够完全控制Kindle电子书,只需了解用户的电子邮件地址。
信息安全yogev栏专家Yogev Bar-HI在以色列公司RealMode Labs在2020年10月发现漏洞。
利用链中的第一个漏洞与“发送给Kindle”功能相关联,允许用户通过电子邮件作为附件向其Kindle设备以Mobi格式发送电子书。亚马逊提供了一个地址****@kindle.com,根据您可以从任何电子邮件地址发送电子书,之前先前被设备所有者批准的电子邮件地址。
Yogev Bar - 他发现可以滥用此功能 - 您可以通过电子邮件发送专门创建的电子书,目标设备上将有一个任意代码。
在恶意电子书的帮助下,由于Kindle设备用于分析JPEG XR图像的库相关漏洞的操作,可以执行任意代码。为了成功开发漏洞,用户必须点击本书内的链接,其中包含恶意JPEG XR附件。打开链接后,推出浏览器和网络克里明器代码。
![亚马逊将支付1800美元的漏洞,以检测Hack Kindle电子阅读器 23321_2](/userfiles/21/23321_2.webp)
此外,Yogeev Bar-HE找到了一种允许提出权限并代表root用户执行代码的漏洞,实际上提供给设备完全访问权限。
“黑客可以轻松访问设备的账户,使用受害者的绑定银行卡在Kindle商店购买。有可能在商店中出售电子书并将资金转移到您的帐户中,“酒吧Yogeev指出。
用于了解用户的电子邮件地址,并说服受害者要求遵循恶意书中的链接所需的网络犯罪。
亚马逊接到有关漏洞可用性的信息后立即消除了它们。专家支付了18万美元的薪酬。
在下一个视频中,您可以看到攻击在Kindle书籍上的攻击究竟是多么究竟:
Cisoclub.ru上的更有趣的材料。订阅我们:Facebook | VK |推特| Instagram |电报|禅|信使| ICQ新| YouTube |脉冲。