Flock 카메라에서 하드코딩된 자격증명과 보안 취약점 무더기 발견
Flock cameras are riddled with security vulnerabilities and hardcoded creds
DDoSecrets가 공개한 Flock ALPR 카메라 펌웨어 이미지를 분석한 결과, 2017년 출시된 Android 8.1과 Linux 3.18.71 커널이 사용되고 있었고 2018년 이후 보안 패치가 전혀 적용되지 않았다. 또한 앱에 하드코딩된 API 키로 모든 카메라의 자격증명을 얻을 수 있으며, Auth0 클라이언트 ID와 시크릿이 평문으로 저장돼 있었다. 카메라 로그에서 위치 좌표까지 유출됐다.
Flock은 보안을 중요하게 생각하며 보안 연구자들이 잠재적 취약점을 직접 신고할 수 있도록 공개 취약점 공개 정책을 유지하고 있습니다. 우리는 그 과정을 통해 어떤 신고도 받지 못했고, 제공된 제한된 정보만으로는 제기된 주장을 평가할 충분한 세부 정보가 없습니다.