亚马逊旗下的 Ring 在 5 月份悄悄修复了一个“高严重性”安全漏洞，该漏洞可能允许恶意行为者访问 Ring 视频门铃的摄像头记录并提取用户的个人数据。
亚特兰大应用安全公司Checkmarx 的研究人员在分析 Ring 的 Android 应用时发现了该漏洞。该应用程序允许用户监控视频门铃和安全摄像头上录制的镜头，下载量已超过 1000 万次。
研究人员发现，该应用程序存在多个漏洞，当这些漏洞链接在一起时，攻击者可能会通过创建和发布恶意应用程序（或将更新推送到现有应用程序）在同一设备上运行来利用该漏洞。如果潜在受害者被诱骗安装恶意应用程序，攻击者将获得身份验证 cookie，这是一种小文件，可让用户持续登录，而无需不断重新输入密码。
使用这些 cookie，攻击者可以在没有密码的情况下访问用户的帐户，从而允许恶意应用程序窃取 Ring 用户的全名、电子邮件地址和电话号码，以及 Ring 设备数据，例如摄像头记录和地理位置数据。
Checkmarx 表示，成功的攻击者可以自己从 Ring 摄像头记录中提取更多信息，例如文档中的信息或 Ring 摄像头可见的计算机屏幕上的信息，或者跟踪人们进出房间或建筑物的活动。
Ring 于 5 月 27 日在 Ring Android 应用程序的 3.51.0 版本中修复了该问题，并告诉 Checkmarx 没有暴露客户数据。到达后，Ring 发言人 Claudia Fellerman 向 TechCrunch 证实，Ring 修复了该漏洞。
Ring 于 2018 年被亚马逊以约 10 亿美元的价格收购。此后，这家可视门铃制造商已将其执法合作伙伴关系扩大到美国 2200 多个警察部门，允许警方向房主索取可视门铃摄像头镜头。去年，Ring 向当局提供了创纪录数量的用户数据和客户视频记录，并在 2022 年迄今未经账户所有者同意的情况下与警方分享了 11 次客户的录像。
今年早些时候，TechCrunch 披露了 Ring 的 Neighbors 应用程序中的一个安全漏洞，该漏洞暴露了发布到该应用程序的用户的精确位置和家庭地址。
原文： https://techcrunch.com/2022/08/18/amazon-ring-security-risk/