1
• В блоге bobdahacker, которому ранее удалось взломать McDonald’s и Burger King, появилась новая статья. На этот раз ему удалось выявить ряд уязвимостей в приложении Petlibro (крупнейший производитель умных кормушек, поилок и других IoT устройств для животных, которыми пользуются миллионы человек).
• Одна из многочисленных уязвимостей заключалась в том, что систему аутентификации на серверах компании можно обойти через API. Зная Google ID зарегистрированного пользователя можно получить полный доступ к аккаунту. В свою очередь API Google People позволяет найти Google ID любого человека по его электронной почте. В данном случае вся модель аутентификации Petlibro ошибочна. Они рассматривают идентификатор Google как пароль, хотя по сути это общедоступная информация.
• Далее, получив доступ к системе, можно подключиться к камере и микрофону устройства, изменить или удалить расписание кормления, меня названия устройств, запустить ручную подачу корма и управлять другими настройками.
• В начале ноября 2025 года bobdahacker передал всю информацию производителю и через 24 часа получил ответ, что они оценят перечисленные уязвимости и ответят в течении 5 дней.
• Далее Petlibro без согласования выслали награду за обнаруженные уязвимости в размере 500 баксов... за обход авторизации и полный доступ к аккаунту... По информации от производителя, такая сумма была выплачена из-за "ограниченного бюджета".
• Но это еще не всё. Исследователю заявили, что уязвимость пофиксят только через несколько месяцев, в начале 2026 года.
• 27 декабря эта статья была опубликована в блоге bobdahacker, а 28 декабря Petlibro сообщили, что исправили уязвимость. На исправление ушло 2 месяца.
➡️ https://bobdahacker.com/blog/petlibro
#BB #Security