Een beveiligingsonderzoeker heeft door een kwetsbaarheid in een api alle met internet verbonden dierenvoerbakken van Xiaomi online kunnen vinden. Die waren bovendien van een afstand te besturen.
Het gaat om de Xiaomi FurryTail. Dat is een met internet verbonden voederbak voor katten en honden. Gebruikers kunnen die programmeren om op bepaalde tijden een hoeveelheid eten in de bak te laten komen of dat op afstand doen als ze het huis uit zijn. De Russische beveiligingsonderzoeker Anna Prosvetova ontdekte dat er een kwetsbaarheid in de api van de voederbak zat. Ze postte daarover op haar Telegram-kanaal.
Door de kwetsbaarheid was het mogelijk alle FurryTail-bakken ter wereld te vinden. Het zou gaan om 10.950 apparaten. Daarvan kon ze de status inzien. Bovendien maakten de apparaten gebruik van de ESP8266-chip. Daarin werd onlangs een lek ontdekt waarmee een buffer overflow kan worden uitgevoerd waardoor het apparaat kan crashen. Ook zou het mogelijk zijn om eigen firmware op het apparaat te installeren. Met zulke firmware zou een aanvaller in theorie kunnen bepalen wanneer de bak eten uitgeeft.
Het is niet bekend of de bakken ook in Nederland werden gebruikt. Ze zijn hier niet officieel te koop, maar wel via Chinese webwinkels. De onderzoeker zegt het lek te hebben doorgegeven aan Xiaomi. Het bedrijf erkent het lek en zegt dat er een patch komt, al wordt er geen tijdlijn voor gegeven. Xiaomi heeft geen responsible disclosure-beleid of een bugbountyprogramma. De onderzoeker heeft ondertussen nog geen details over het lek zelf naar buiten gebracht, omdat ze wacht tot Xiaomi met een reparatie komt.