PT-2021-21650 · Amazon · Amazon Echo Dot

Publicado 2021-07-24 · Atualizado 2021-08-09 · CVE-2021-37436

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.2

Média

Vetor base

AV:P/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Dispositivos Amazon Echo Dot até 02/07/2021

Descrição

A vulnerabilidade permite que invasores com acesso físico a um dispositivo, após uma redefinição de fábrica, obtenham informações confidenciais por meio de ataques complexos de hardware e software. Observa-se que as declarações de marketing do fornecedor afirmavam que uma redefinição de fábrica removeria com segurança o conteúdo pessoal. Segundo relatos, o fornecedor está trabalhando em medidas de mitigação.

Recomendações

Para dispositivos Amazon Echo Dot até 02/07/2021, como solução temporária, considere tomar precauções extras ao descartar ou reiniciar os dispositivos para minimizar o risco de informações confidenciais serem obtidas por terceiros não autorizados. No momento, não há informações sobre uma versão mais recente que contenha uma correção para este problema.

Correção

Identificadores relacionados

CVE-2021-37436

Produtos afetados

Amazon Echo Dot

Referências · 8

• https://nvd.nist.gov/vuln/detail/CVE-2021-37436 · Nota de Segurança
• https://arstechnica.com/gadgets/2021/07/passwords-in-amazon-echo-dots-live-on-even-after-you-factory-reset-them · Nota
• https://dl.acm.org/doi/pdf/10.1145/3448300.3467820 · Nota
• https://news.ycombinator.com/item?id=27943730 · Nota
• https://osv.dev/vulnerability/CVE-2021-37436 · Aviso do Fabricante
• https://t.me/cvenotify/18078 · Publicação no Telegram
• https://t.me/cibsecurity/26453 · Publicação no Telegram
• https://cpomagazine.com/data-privacy/is-it-possible-to-make-iot-devices-private-amazon-echo-dot-does-not-wipe-personal-content-after-factory-reset · Nota