大疆掃地機器人安全事件：研究員獲3萬美元賞金，部分漏洞已修復

來源：IT之家

3 月 7 日消息，今年情人節(jié)（2 月 14 日）那天，一則關于大疆掃地機器人安全漏洞的報道引發(fā)關注。

當時有一名用戶為了用 PlayStation 手柄操控自己的 DJI Romo 掃地機器人，意外發(fā)現(xiàn)了一個涉及約 7000 臺設備的漏洞網(wǎng)絡，能夠遠程查看他人家庭實時畫面。如今，事件有了最新進展。大疆于當?shù)貢r間 3 月 6 日就 DJI Home 應用的后端驗證問題發(fā)布聲明。

同時，研究員薩米 · 阿茲杜法爾（Sammy Azdoufal）今日向 The Verge 證實，大疆已就其發(fā)現(xiàn)的漏洞向其支付 3 萬美元（IT之家注：現(xiàn)匯率約合 20.8 萬元人民幣）賞金。大疆方面未透露具體是針對哪一項發(fā)現(xiàn)，但向 The Verge 證實已“獎勵”一名未具名的安全研究員。

DJI Romo 掃地機器人

阿茲杜法爾發(fā)現(xiàn)的核心漏洞主要涉及大疆 MQTT 服務器：當他用自己的 DJI Romo 連接到大疆服務器時，服務器不僅回應了他的設備，還將全球約 7000 臺其他設備的控制權一并暴露。

經(jīng)過驗證，他可以遠程操控上述約 7000 臺設備，可通過攝像頭查看和收聽實時畫面，甚至獲取完整的 2D 房間地圖，并通過 IP 地址定位設備位置。

部分漏洞已修復，部分仍需時日

大疆發(fā)言人 Daisy Kong 在聲明中確認，阿茲杜法爾發(fā)現(xiàn)的另一項漏洞 —— 無需安全 PIN 碼即可查看 DJI Romo 視頻畫面問題已在 2 月底得到解決。

另外，對于最初報道中因風險過高而未詳細描述的另一項嚴重漏洞，大疆官方博客中聲稱已“完全解決”相關問題，但向 The Verge 的補充說明承認，全面修復可能需要長達一個月時間。“我們已開始升級整個系統(tǒng)，包括一系列更新，預計將在一個月內全面實施?！?/p>

漏洞細節(jié)與修復時間線

阿茲杜法爾并非傳統(tǒng)意義上的安全研究員，他只是一家度假租賃公司的 AI 戰(zhàn)略負責人。他之前使用 Claude Code 逆向分析了大疆的服務器協(xié)議，發(fā)現(xiàn)其 MQTT 服務器以明文形式散播數(shù)據(jù)（每三秒一次），發(fā)送內容包含序列號、清潔區(qū)域、剩余電量、行駛距離、返回充電狀態(tài)等信息的數(shù)包。

他在演示中僅憑同事的 DJI Romo 序列號，就準確調出了該設備的信息。當時該設備正在清潔客廳、剩余 80% 電量，并在幾分鐘內生成了包含每個房間準確形狀和尺寸的戶型圖。他還能繞過安全 PIN 碼，查看自己設備的實時視頻畫面。

數(shù)據(jù)存儲與訪問控制爭議

大疆強調，Romo 設備與服務器之間的通信始終采用 TLS 加密，歐洲等地區(qū)的設備數(shù)據(jù)存儲在美國的 AWS 云基礎設施上。但阿茲杜法爾指出，一旦通過身份驗證連接到 MQTT 服務器，如果沒有適當?shù)?ACL 防護措施，用戶即可在應用層看到所有設備的明文消息。“TLS 對此無能為力 —— 它只保護通道，不保護通道內的內容免受其他授權參與者的窺探。”

阿茲杜法爾表示，即使到現(xiàn)在，大疆仍未修復他發(fā)現(xiàn)的所有漏洞。除了無需 PIN 碼查看視頻畫面外，還有一項嚴重漏洞他選擇暫不公開，以留給大疆更多修復時間。

研究員：我本來只是想用手柄遠程操控掃地機器人

面對外界關于“未留足漏洞披露時間”的質疑，阿茲杜法爾回應稱，他并非安全專業(yè)人士，也沒有入侵任何系統(tǒng)或泄露敏感數(shù)據(jù)。“是的，我沒能遵守行業(yè)規(guī)則，但人們?yōu)榱隋X才遵守漏洞賞金計劃。我 TM 根本不在乎，我只想讓他們快點修復這問題。”