Устройства UniFi транслировали частное видео на аккаунты других пользователей

В течение последних 24 часов пользователи UniFi, популярной линии беспроводных устройств от компании Ubiquiti, сообщают о получении частных видеокадров с камер и управлении устройствами, принадлежащими другим пользователям. Об этом сообщают посты, опубликованные на социальной сети Reddit.

Один из пользователей Reddit рассказал, что его жена получила уведомление от UniFi Protect с изображением с камеры безопасности, которая не принадлежит им. В посте были приложены два изображения: первое показывало уведомление о движении во дворе дома на трех этажах, окруженном деревьями, а второе - панель пользователя, на которой был виден совершенно другой дом.

Менее чем через час другой пользователь в той же ветке сообщил, что при входе на сайт unifi.ui.com он оказался в чужом аккаунте. Несмотря на то, что в углу экрана отображался его email, контролировать можно было чужое устройство UDM Pro, включая просмотр и изменение настроек.

Другие участники также сообщали о подобных проблемах. На Reddit появились посты о том, что пользователи UniFi подключаются к частным устройствам или каналам, принадлежащим другим людям. Один из постов включал скриншоты, на которых было видно видео с незнакомого бизнеса, к которому пользователь получил полный доступ.

Другой пользователь написал, что при входе в свой аккаунт Ubiquiti нашел управление системой другого человека. Проблема исчезла после выхода из системы и очистки куков.

В четверг компания Ubiquiti сообщила, что обнаружила и исправила ошибку. Оказалось, что из-за обновления облачной инфраструктуры UniFi 1,216 аккаунтов Ubiquiti были неправильно связаны с другой группой из 1,177 аккаунтов. В течение определенного времени пользователи одной группы получали уведомления и имели временный доступ к аккаунтам другой группы.

Ubiquiti активно реагировала на сообщения о проблеме, подчеркивая серьезность своего отношения к инциденту. Сотрудники компании уверяют, что проблема устранена и больше не повторится.

Напомним, что подобные инциденты с неправильным входом в аккаунты и доступом к данным других пользователей уже случались в интернете, включая ошибки T-Mobile, Chase Bank и других компаний. Часто это связано с кэшированием данных в промежуточных устройствах, которые иногда могут привести к смешиванию учетных данных разных аккаунтов.

В Ubiquiti сообщили, что собирают информацию для более точной оценки ситуации.