大疆扫地机器人漏洞曝光：6700台设备隐私面临严重越权风险
免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈
近日，一位热衷于动手改造的DIY玩家在尝试用PS5游戏手柄操控新购置的大疆Romo扫地机器人时，意外发现一个令人震惊的安全漏洞。这个漏洞使得全球约6700台同型号设备面临未授权访问风险，攻击者不仅能实时调取摄像头画面，还能获取家庭户型平面图，甚至精确定位设备所在位置。
漏洞发现者萨米·阿兹杜法尔最初只是出于兴趣，想为Romo增加手柄操控功能。借助Claude Code工具，他对机器人与大疆云服务器之间的通信协议进行逆向分析，并自主开发了一款远程控制应用。首次连接服务器后，他发现该应用使用的本地设备私有令牌未被正确限定作用范围——本应仅授权访问自身设备的密钥，竟被服务器错误识别为具备全局访问权限，从而触发越权响应。
经现场验证，该工具在9分钟内就从24个国家的6700台Romo设备处接收并记录了超过10万条数据，内容涵盖设备序列号、清洁区域、实时环境画面、行驶里程、充电状态及障碍物识别记录等。
测试过程中，仅输入同事托马斯·里克提供的14位设备序列号，即可实时显示该机器人正在清洁其家中客厅、剩余电量为80%等运行状态，并同步下载其住宅未经身份验证的完整楼层平面图。此外，该工具还能绕过用户设定的安全PIN码，直接调取本地机器人摄像头的实时影像；阿兹杜法尔还将一款仅具备只读功能的应用版本分享给法国某IT咨询公司首席技术官贡扎格·丹布里库尔，后者在未完成设备配对的前提下，亦成功远程查看了自家Romo的实时画面。
阿兹杜法尔强调，其行为始终未涉及对大疆服务器的主动入侵或任何形式的暴力破解，所有操作均基于自身设备合法获取的凭证。问题根源在于服务器端权限校验机制存在设计缺陷：本应严格绑定单设备的私有令牌被错误赋予跨设备访问能力，致使大量用户数据在无认证状态下被批量返回。他表示，每次结束使用该工具后均主动清除全部采集数据，未将信息用于任何非授权用途。
目前相关漏洞已由大疆完成修复。
热门专题
热门推荐
清明节假期期间，A 股和港股休市，但比特币行情永不停歇。 4月6日，当多数市场还在假期中沉睡时，比特币已经悄然启动。价格从亚洲早盘的低点67400美元出发，一路向上试探，盘中最高涨破70300美元，不仅刷新了3月26日以来的高位，较日内低点的涨幅也超过了4%。以太坊的表现同样不俗，从2050美元附近
4月5日消息，日前，REDMI K90至尊版通过3C认证，预计将于本月发布。今日，小米中国区市场部总经理魏思琪用小米新机发布微博，不出意外，这正是即将登场的REDMI K90至尊版，这将是小米首款配
WPS演示中图表不随数据更新时，可通过四种方法实现自动同步：一、用OFFSET+COUNTA定义动态名称绑定图表；二、用组合框控件联动VLOOKUP提取数据；三、用数据透视图配合切
聚焦数字技术，释放创新动能。为集中展示静安区区块链技术从“实验室”走向“应用场”的丰硕成果，挖掘一批可复制、可推广的行业解决方案，加速构建区块链产业生态闭环，静安区数据局特推出“静安区区块链创新应用
太空中的马桶堵了，边飞边修还能勉强用。但中东被点燃的火药桶，美国怎么来扑灭？靠一再延期的“最后通牒”？还是靠无底线的轰炸？2300万美元的马桶美国航空航天局4名宇航员1日搭乘“猎户座”飞船升空，执行