인스타360 (Insta360) 와이파이를 통해 개인 사진 유출 가능

 

Reddit 유저 cmdr_sidhartagautama 가 인스타360 제품에 저장된 사진이 누구나에게 유출될 수 있다는 글을 올렸다.

https://www.reddit.com/r/Insta360/comments/scsue6/really_cool_insta360_one_x2_hidden_feature/?utm_source=share&utm_medium=ios_app&utm_name=iossmf

Really cool Insta360 One X2 hidden feature!

 

해당 글에 나오는 제품 모델은 Insta360 One X2 으로 카메라를 키면

"ONE X2 XXXXXX.OSC" 이름의  5G 와이파이도 자동으로 같이 켜지게 된다. (X에는 시리얼 넘버)

우선 가장 큰 문제는 이 비밀번호가 88888888 으로 하드코딩 되어있다는 것이다.

(this was tested on a camera that previously connected to the Android app. Not sure how cameras that connect to iPhones handle this but I doubt this is different) 

the code that sets the hardcoded wifi password lives at `com.arashivision.insta360akiko.camera.connect.util.getWifiInfo()` 


public static final WifiInfo getWifiInfo(BleDevice bleDevice) {
        (...)
            sb.append(name);
            sb.append(".OSC");
            savedCameraWifiInfo.setSsid(sb.toString());
            if (!ArraysKt.contains(new CameraType[]{CameraType.ONEX, CameraType.UNKNOWN}, CameraType.getForType(cameraType))) {
                str = "88888888";
            }
            savedCameraWifiInfo.setPwd(str);
        }
        return savedCameraWifiInfo;
    }

 

해당 와이파이에 연결이 되면 "http://192.168.42.1:80/DCIM/Camera01" 으로 접속하여 사용자의 사진에 접근할 수 있다.

 

추가로 호스트 주소와 펌웨어 업로드 경로가 하드코딩 되어 있다.

 

쉘에 접근하는 경우 바로 root 권한이 주어진다.