Peloton健身App漏洞可能使駭客接管裝置

安全廠商McAfee最近發現熱門健身器材商派樂騰（Peloton）的健身器App有漏洞，可能讓駭客注入惡意程式以控管整臺設備。

美國健身器材派樂騰（Peloton）提供包含線上健身課程，受惠於新冠肺炎疫情帶動歐美民眾居家健身需求，2020年派樂騰股價大漲，今年1月中觸及171美元。

McAfee是在測試Android版Bike+Bike+時發現漏洞。為確保Android上使用的映像檔是可信任、未被植入rootkit或其他惡意程式，Android設計中加入了Android verified boot（AVB）的把關機制。如果想在Android手機或平板電腦上刷機或安裝第三方映像檔，得經過OEM解鎖（OEM Unlocking）過程，使用者以密碼、PIN或生物驗證方式將之解鎖，但在此同時，AVB也會將Android裝置上的應用、檔案和密碼等資料全數刪除以確保資訊安全，還會留下記號。正常情況下，以第三方映像檔開機，往往會遭到拒絕，且顯示這臺裝置開機程式（bootloader）是鎖定狀態。

然而McAfee研究人員發現，Pelon Bike+ Android App沒有這樣的安全把關。他們先是發現，第三方映像檔在一臺普通、未解鎖開機程式的Android裝置上執行並未觸發上述訊息。研究人員進一步利用無線更新（OTA update）取得合法Peloton Bike+備份映像檔，經過改造，最後將第三方程式刷入Android OS。

研究人員表示，這個App的漏洞讓駭客成功繞過AVB驗證，駭入Android OS。最嚴重情形下，攻擊者可利用Peloton刷入改造過的惡意映像檔，進而在Android上提高權限，並以此建立反向shell、後門，並於日後遠端存取Peloton健身飛輪的設備，像是相機或麥克風。而且，攻擊者可以在供應鏈任意環節，像是工廠或倉庫中於產品內植入後門。

研究人員僅證實漏洞出現在Bike+，但事後發現，也會影響Peloton Tread跑步機系列。

Peloton公司指出，要開採這項漏洞，攻擊者必須要實際接觸到產品。不過全美許多飯店、健身房及住宅都採用這些產品。在接獲McAfee通知後，Peloton已經於6月初修補漏洞。