bencede
New member
Bir güvenlik açığı nedeniyle saldırganlar, belirli koşullar altında AI yardımcısı Rabbit R1'e saldırıp onu tehlikeye atabilir.
Duyuru
Bir güvenlik araştırmacısı, Android 13 çalıştıran cihazı daha yakından inceledi ve diğer şeylerin yanı sıra MediaTek SoC'de 2019 kök güvenlik açığı buldu. Diğer cihazlar için güvenlik güncellemeleri halihazırda mevcut olsa da Rabbit R1 hala savunmasızdır. Ancak kendi ifadelerine göre güvenlik araştırmacısının saldırısı için bu açıktan yararlanmasına bile gerek kalmamıştı. Üreticinin zaten açığı kapatamayacağını çünkü bu durumun donanımı doğrudan etkilediğini iddia ediyor. Basında çıkan haberlere göre Rabbit şu anda üretim ortağıyla güvenlik sorununun nasıl çözüleceğini değerlendiriyor.
Bir güvenlik araştırmacısı, Tavşan R1'de kök hakları elde etmeyi başardı.
(Resim: David Buchanan)
AI gadget'ının, diğer şeylerin yanı sıra, ChatGPT & Co. gibi soruları yanıtlayarak ve entegre kamerayla çekilen fotoğrafları analiz ederek günlük hayata yardımcı olması amaçlanıyor.
Saldırı
Araştırmacı, alternatif bir görüntü yüklemek ve cihazı rootlamak için mtkclient aracını kullanarak önyükleyiciyi açabileceğinizi iddia ediyor. Ancak çeşitli güvenlik kontrolleri değişikliği algılayabilir ve bir uyarı görüntüleyebilir. Ayrıca Tavşan R1'in USB önyükleyici modunda imzasız görüntüleri kabul ettiğini de belirtir. Bu, yükünü ön yükleyicinin önyükleme aşamaları bağlamında yürütmesine ve tüm güvenlik kontrollerini geçen değiştirilmiş bir çekirdek kurmasına olanak sağladı. Ancak bu yalnızca geçicidir ve yeniden başlatıldıktan sonra cihaz fabrika durumuna geri döner.
Araştırmacıya göre bazı şeyler hala belirsiz ve topluluğun yardımıyla daha fazla bilgi edinmeyi umuyor. Teorik olarak saldırganların Tavşan R1'i bu şekilde tamamen tehlikeye atabilecekleri varsayılabilir. Ancak görünen o ki saldırganların yapay zeka yardımcısını manipüle edebilmeleri için ona fiziksel erişime sahip olmaları gerekiyor. Artık cihazı fabrika durumuna geri döndürmek mümkün ancak bunun aynı zamanda zararlı işlevleri de zararsız hale getirip getirmeyeceği belli değil.
Araştırmacı ayrıca cihazın yazılımının IP adresleri ve GPS verileri gibi birçok kişisel veriyi sakladığını da buldu. Ayrıca üretici, kaynak kodunun görüntülenememesi nedeniyle GPL2 lisansını ihlal etmektedir. Tavşan R1 piyasaya sürüldüğünde güvenlik endişeleri manşetlere taşındı.
Güncelleme
17 Temmuz 2024,
13.13
Saat
Bu hikayenin ilk versiyonunda ana kaynak olarak Cybernews gösteriliyordu. Bu arada başka bir güvenlik araştırmacısı bizimle iletişime geçti ve Cybernews'ten bir gün önce bu güvenlik sorunuyla ilgili detaylı bir yazı yayınladı. Makalesinden ve e-posta alışverişinden sonra onu birincil kaynak olarak göstermeye karar verdik. Mesajımız buna göre değiştirilmiştir.
(İtibaren)
Duyuru
Bir güvenlik araştırmacısı, Android 13 çalıştıran cihazı daha yakından inceledi ve diğer şeylerin yanı sıra MediaTek SoC'de 2019 kök güvenlik açığı buldu. Diğer cihazlar için güvenlik güncellemeleri halihazırda mevcut olsa da Rabbit R1 hala savunmasızdır. Ancak kendi ifadelerine göre güvenlik araştırmacısının saldırısı için bu açıktan yararlanmasına bile gerek kalmamıştı. Üreticinin zaten açığı kapatamayacağını çünkü bu durumun donanımı doğrudan etkilediğini iddia ediyor. Basında çıkan haberlere göre Rabbit şu anda üretim ortağıyla güvenlik sorununun nasıl çözüleceğini değerlendiriyor.
Bir güvenlik araştırmacısı, Tavşan R1'de kök hakları elde etmeyi başardı.
(Resim: David Buchanan)
AI gadget'ının, diğer şeylerin yanı sıra, ChatGPT & Co. gibi soruları yanıtlayarak ve entegre kamerayla çekilen fotoğrafları analiz ederek günlük hayata yardımcı olması amaçlanıyor.
Saldırı
Araştırmacı, alternatif bir görüntü yüklemek ve cihazı rootlamak için mtkclient aracını kullanarak önyükleyiciyi açabileceğinizi iddia ediyor. Ancak çeşitli güvenlik kontrolleri değişikliği algılayabilir ve bir uyarı görüntüleyebilir. Ayrıca Tavşan R1'in USB önyükleyici modunda imzasız görüntüleri kabul ettiğini de belirtir. Bu, yükünü ön yükleyicinin önyükleme aşamaları bağlamında yürütmesine ve tüm güvenlik kontrollerini geçen değiştirilmiş bir çekirdek kurmasına olanak sağladı. Ancak bu yalnızca geçicidir ve yeniden başlatıldıktan sonra cihaz fabrika durumuna geri döner.
Araştırmacıya göre bazı şeyler hala belirsiz ve topluluğun yardımıyla daha fazla bilgi edinmeyi umuyor. Teorik olarak saldırganların Tavşan R1'i bu şekilde tamamen tehlikeye atabilecekleri varsayılabilir. Ancak görünen o ki saldırganların yapay zeka yardımcısını manipüle edebilmeleri için ona fiziksel erişime sahip olmaları gerekiyor. Artık cihazı fabrika durumuna geri döndürmek mümkün ancak bunun aynı zamanda zararlı işlevleri de zararsız hale getirip getirmeyeceği belli değil.
Araştırmacı ayrıca cihazın yazılımının IP adresleri ve GPS verileri gibi birçok kişisel veriyi sakladığını da buldu. Ayrıca üretici, kaynak kodunun görüntülenememesi nedeniyle GPL2 lisansını ihlal etmektedir. Tavşan R1 piyasaya sürüldüğünde güvenlik endişeleri manşetlere taşındı.
Güncelleme
17 Temmuz 2024,
13.13
Saat
Bu hikayenin ilk versiyonunda ana kaynak olarak Cybernews gösteriliyordu. Bu arada başka bir güvenlik araştırmacısı bizimle iletişime geçti ve Cybernews'ten bir gün önce bu güvenlik sorunuyla ilgili detaylı bir yazı yayınladı. Makalesinden ve e-posta alışverişinden sonra onu birincil kaynak olarak göstermeye karar verdik. Mesajımız buna göre değiştirilmiştir.
(İtibaren)