Một lỗ hổng nghiêm trọng trong các API quản lý của Pudu Robotics đã cho phép bất kỳ ai với kỹ năng kỹ thuật tối thiểu chiếm quyền điều khiển các robot giao hàng và dịch vụ của công ty.

Lỗ hổng nghiêm trọng này, đã không được giải quyết trong nhiều tuần mặc dù đã có nhiều nỗ lực tiết lộ trách nhiệm, có thể đã cho phép các tác nhân độc hại chuyển hướng các robot BellaBot và các mẫu Pudu khác để giao bữa ăn đến những người nhận không mong muốn, làm gián đoạn dịch vụ trong nhà hàng, và thậm chí xâm phạm các hoạt động nhạy cảm trong bệnh viện và văn phòng.

Phân tích kỹ thuật lỗ hổng nghiêm trọng của Pudu Robotics

Cuộc điều tra do BobDaHacker thực hiện đã tiết lộ rằng gần như mọi điểm cuối API của nền tảng quản lý robot của Pudu đều thiếu các kiểm tra xác thực đầy đủ.

Mặc dù hệ thống yêu cầu các mã thông báo (token) hợp lệ, nhưng nó đã thất bại trong việc xác minh quyền người dùng hoặc quyền sở hữu robot. Điều này tạo điều kiện cho các tác nhân độc hại thực hiện một loạt các hành động không được phép thông qua lỗ hổng nghiêm trọng này.

Các hành động khai thác tiềm năng

Kẻ tấn công có thể dễ dàng thực hiện các thao tác sau khi khai thác lỗ hổng nghiêm trọng:

• Chiếm quyền điều khiển robot: Có thể giành toàn quyền kiểm soát các robot như BellaBot và FlashBot.
• Truy cập dữ liệu nhạy cảm: Có khả năng truy cập vào dữ liệu vận hành và dữ liệu người dùng mà robot thu thập.
• Thực hiện các lệnh từ xa: Bao gồm việc thay đổi lộ trình, hủy bỏ nhiệm vụ, hoặc kích hoạt các chức năng không mong muốn.
• Can thiệp vào hoạt động hệ thống: Gây rối loạn quy trình vận hành hoặc làm gián đoạn dịch vụ quan trọng.

Ảnh hưởng tiềm tàng từ cuộc tấn công mạng

Khả năng khai thác lỗ hổng nghiêm trọng này mang lại rủi ro đáng significance cho nhiều môi trường khác nhau, từ dịch vụ ăn uống đến các cơ sở y tế và văn phòng.

Trong môi trường nhà hàng và dịch vụ

Trong kịch bản nhà hàng, một kẻ tấn công có thể đã chuyển hướng một BellaBot đang mang bữa ăn của khách hàng khác đến bàn của chính họ. Ngoài ra, việc hủy bỏ tất cả các yêu cầu giao hàng trong giờ cao điểm hoặc lập trình robot chạy vòng lặp vô tận trong khi phát nhạc cũng là những khả năng có thể xảy ra.

Những hành động này không chỉ gây ra sự bất tiện mà còn làm gián đoạn nghiêm trọng hoạt động kinh doanh, ảnh hưởng đến doanh thu và trải nghiệm khách hàng.

Trong các tòa nhà văn phòng

Robot FlashBot, một mẫu robot được trang bị cánh tay cơ học và khả năng tiếp cận thang máy, có thể bị chiếm quyền điều khiển để lấy các tài liệu mật từ các tầng bảo mật và gửi chúng đến một lối ra. Điều này tiềm ẩn nguy cơ rò rỉ dữ liệu nhạy cảm và thông tin độc quyền của công ty do khai thác lỗ hổng nghiêm trọng.

Trong các cơ sở y tế

Trong các cơ sở chăm sóc sức khỏe, các tác nhân độc hại có thể can thiệp vào việc giao thuốc, gửi robot dọn dẹp vào phòng mổ, hoặc hoàn toàn bỏ qua các nhiệm vụ khử trùng quan trọng. Những sự cố này có thể gây ra hậu quả nghiêm trọng về sức khỏe và an toàn cho bệnh nhân, đồng thời làm suy yếu sự tin cậy vào hệ thống tự động hóa y tế khi một lỗ hổng nghiêm trọng bị bỏ qua.

Quy trình tiết lộ lỗ hổng và phản ứng của Pudu Robotics

BobDaHacker đã báo cáo lỗ hổng nghiêm trọng này cho các nhóm bán hàng, hỗ trợ và kỹ thuật của Pudu bắt đầu từ ngày 12 tháng 8. Tuy nhiên, sau khi không nhận được phản hồi, ông đã leo thang vấn đề bằng cách gửi email cho hơn năm mươi nhân viên công ty vào ngày 21 tháng 8.

Nhiều tuần trôi qua trong im lặng trong khi các robot của Pudu vẫn tiếp tục hoạt động trong môi trường dễ bị tổn thương trên toàn thế giới. Vào ngày 28 tháng 8, ông đã liên hệ với các khách hàng lớn, bao gồm Skylark Holdings (quản lý hơn 7.000 nhà hàng tại Nhật Bản) và Zensho (một chuỗi nhà điều hành hàng đầu), cảnh báo họ rằng các đội robot của họ đang bị đe dọa chiếm quyền điều khiển.

Trong vòng bốn mươi tám giờ sau lần leo thang cuối cùng này, đội ngũ an ninh của Pudu “kỳ diệu” đã phát hiện các báo cáo và đưa ra một thư xác nhận theo mẫu, cảm ơn BobDaHacker vì “tiết lộ có trách nhiệm”, thậm chí còn có một chỗ giữ chỗ “[Your Email Address]” vẫn còn nguyên vẹn.

Hai ngày sau, Pudu xác nhận các lỗ hổng nghiêm trọng đã được vá.

Phân tích phản ứng của Pudu và những thiếu sót về an ninh mạng

Sự cố này làm nổi bật những thiếu sót đáng báo động trong bảo mật và khả năng phản ứng của doanh nghiệp. Trong khi Pudu tự hào về “cam kết liên tục đối với bảo mật” trên trang web của mình, công ty lại thiếu cả các biện pháp cơ bản nhất để ngăn chặn một lỗ hổng nghiêm trọng:

• Không có liên hệ bảo mật chuyên trách.
• Không có kiểm soát API được xác thực mạnh mẽ.
• Không xử lý kịp thời các báo cáo về lỗ hổng.

Hành động chỉ diễn ra sau khi có nguy cơ về thiệt hại danh tiếng và tài chính khi các khách hàng quan trọng được cảnh báo. Phản ứng chậm trễ của công ty và việc dựa vào các mẫu email tự động, phi cá nhân chỉ làm xói mòn lòng tin.

Ý nghĩa rộng hơn về bảo mật thông tin robot dịch vụ

Những hàm ý về an toàn mở rộng vượt xa sự hỗn loạn trong nhà hàng. Các bệnh viện dựa vào robot Pudu để giao thuốc có nguy cơ chậm trễ hoặc sai lệch trong điều trị. Các khách sạn và trường học sử dụng các thiết bị này cho dịch vụ phòng hoặc hậu cần căng tin có thể gặp phải tình trạng ngừng dịch vụ và nguy hiểm về an toàn.

Trong một kỷ nguyên mà tự động hóa đóng vai trò ngày càng tăng trong các hoạt động quan trọng, sự cố Pudu nhấn mạnh rằng bảo mật mạnh mẽ phải song hành với đổi mới công nghệ. Các nhà sản xuất robot phải ưu tiên bảo mật từ khâu thiết kế đến triển khai, để tránh các lỗ hổng nghiêm trọng có thể bị khai thác. Nếu không, những thực khách đói có thể là mối lo ngại ít nhất của khách hàng.

Pudu Robotics hiện phải đối mặt với một cuộc đánh giá nghiêm túc: khách hàng và các cơ quan quản lý sẽ yêu cầu các biện pháp bảo vệ mạnh mẽ hơn, các kênh báo cáo minh bạch và quy trình khắc phục nhanh chóng, bao gồm việc áp dụng bản vá bảo mật một cách chủ động.

Để đảm bảo an toàn cho các hệ thống API, các tổ chức cần tuân thủ các thực tiễn tốt nhất về bảo mật API, chẳng hạn như những khuyến nghị được cung cấp bởi Dự án Bảo mật API của OWASP.