Kerentanan Shark Vacuum Bisa Kendalikan Robot Lain di Wilayah Sama

Kerentanan Shark Vacuum yang Belum Diperbaiki baru-baru ini terungkap dapat memungkinkan penyerang mengendalikan robot vacuum lainnya dalam satu wilayah AWS yang sama. Dengan memanfaatkan sebuah certificate yang diambil langsung dari perangkat, penyerang bisa menjalankan perintah root untuk mengakses kamera, menggerakkan robot, membaca peta rumah, hingga mencuri password Wi-Fi dalam bentuk teks asli.

Detail Celah Keamanan Shark Vacuum di AWS IoT

Seorang peneliti dengan nama samaran tokay0 mengungkap metode ini pada hari Senin, setelah mengujinya hanya pada perangkat yang dibelinya sendiri. Menurut laporan, SharkNinja, perusahaan yang memproduksi merek Shark dan Ninja, telah menerima laporan ini sejak Maret 2026 namun belum melakukan perbaikan.

Masalah utama terletak pada kebijakan AWS IoT yang melekat pada sertifikat perangkat tersebut. Kebijakan ini tidak dibatasi hanya untuk perangkat yang memegang sertifikat, sehingga saat sertifikat tersebut digunakan di cloud broker Shark, broker menerima perintah apa pun yang dikirimkan dengan alamat perangkat lain.

Tidak diperlukan eksploitasi kerusakan memori, eskalasi hak akses, ataupun menebak password. Perintah yang dijalankan hanyalah sebuah field biasa dalam device shadow, dokumen status perangkat yang disimpan AWS di cloud.

Bagaimana Penyerang Memanfaatkan Celah Ini

Dengan sertifikat dari model RV2320EDUS, peneliti ini berhasil berlangganan ke topik $aws/things/# dan mengamati lalu lintas data yang melewati broker, sekaligus mengumpulkan nomor seri perangkat lain. Metode penerbitan perintah juga serupa. Field Exec_Command pada device shadow dibaca oleh aplikasi manajemen bernama appd dan diteruskan ke fungsi execute_command yang menjalankan perintah melalui popen jika ukurannya kurang dari 1.000 byte.

Jika pembaruan shadow dengan field tersebut dikirim ke topik perangkat, dan perangkat tersebut memiliki handler tersebut, perintah akan langsung dijalankan.

Tokay0 membuktikan lintasan lintas-model dengan mendapatkan reverse shell pada model AV1102ARUS yang dibelinya khusus sebagai target. Dari sana, ia bisa menampilkan umpan langsung kamera onboard saat robot bergerak.

Akses Sertifikat dan Batasan Wilayah AWS

Sertifikat bisa diambil dari perangkat dengan membuka tutup dan mengakses pin UART pada papan utama. Konsol U-Boot tidak meminta password dan dengan argumen boot init=/bin/sh langsung masuk ke shell root, di mana sertifikat dan kunci disimpan sebagai file biasa di /mnt/res/vapp/certs/.

Sertifikat dipasang hanya untuk wilayah AWS tertentu. Jadi, kunci yang dicuri hanya berlaku untuk perangkat di wilayah yang sama. Namun untuk mengakses wilayah lain, diperlukan sertifikat lain dengan kebijakan yang sama bermasalah.

AWS sebenarnya punya pemeriksaan audit untuk kebijakan berbahaya ini, bernama IOT_POLICY_OVERLY_PERMISSIVE_CHECK. Device Defender AWS menandai kebijakan yang mengizinkan publish atau subscribe di $aws/things/* tanpa pembatasan ke perangkat yang benar, dan mengklasifikasikannya sebagai masalah kritis.

Perangkat Rentan dan Kunci Akses

Tidak semua sertifikat dapat jadi kunci akses. Namun, vacuum dengan sertifikat bermasalah adalah kunci bagi penyerang. Sedangkan vacuum yang menjalankan handler Exec_Command adalah targetnya, walau sertifikatnya sudah dibatasi dengan benar. Ini menjelaskan mengapa model AV1102ARUS menjadi target meski sertifikatnya tidak bisa wildcard subscribe, karena firmware-nya lebih baru.

Menurut tokay0, perbaikan kebijakan sudah diterapkan pada perangkat baru tapi tidak pernah sampai ke perangkat lama sehingga memungkinkan jalur lintas-model ini.

Skala dan Dampak

Dalam pengamatannya selama 24 jam pada satu wilayah AWS, tokay0 menemukan 1.517.605 nomor seri Shark unik, dengan 673.816 (44%) mengirimkan Exec_Response yang menandakan perangkat tersebut menjalankan handler perintah. Data ini hanya perangkat yang merespons, bukan yang diuji langsung, sehingga jumlah sebenarnya bisa lebih besar.

Respons SharkNinja dan Status Perbaikan

Peneliti menghubungi SharkNinja pada 1 Maret dan melaporkan detail pada 11 Maret. Perusahaan mengakui laporan keesokan harinya, menyatakan pada 27 April sedang meninjau, dan pada 3 Juli berjanji memberi tanggal perbaikan pada 10 Juli. Namun, hingga publikasi pada 13 Juli, belum ada kabar perbaikan yang diumumkan.

SharkNinja bahkan meremehkan tingkat keparahan dan mempertanyakan apakah celah ini layak mendapat CVE (Common Vulnerabilities and Exposures).

Menurut kebijakan publik SharkNinja, mereka berkomitmen memberi update reguler sampai masalah selesai dan meminta peneliti untuk tidak mempublikasikan sebelum ada konfirmasi. Namun, hingga saat ini belum ada perbaikan yang diumumkan.

Peneliti juga meminta CVE pada 11 Juni dari MITRE namun tidak mendapat balasan hingga publikasi. Ini menyulitkan program manajemen kerentanan untuk menangani celah ini.

Solusi dan Mitigasi

Perbaikan celah ini tidak ada di tangan pemilik perangkat. Perbaikan harus dilakukan di sisi server AWS milik SharkNinja dengan mengganti kebijakan IoT yang terlalu permisif dengan versi yang lebih ketat menggunakan fitur CreatePolicyVersion dan setAsDefault.

Tidak perlu pembaruan firmware. Namun, proses mengeluarkan kembali sertifikat yang benar memakan waktu lebih lama.

Sampai SharkNinja melakukan perbaikan, satu-satunya mitigasi bagi pengguna adalah memutuskan koneksi Wi-Fi vacuum, sehingga fungsi aplikasi, penjadwalan, dan peta tidak bisa digunakan dan vacuum kembali menjadi alat pembersih biasa.

Potensi Risiko Produk Lain

Tokay0 belum melakukan pengujian pada produk lain dari SharkNinja seperti smart grill dan wireless meat probes yang kemungkinan juga rentan karena berasal dari perusahaan yang sama dan memakai kebijakan serupa.

Dengan kurangnya tindakan perbaikan dari SharkNinja selama empat bulan, celah ini masih terbuka dan berisiko besar.

Analisis Redaksi

Menurut pandangan redaksi, celah keamanan ini menunjukkan betapa pentingnya pengelolaan kebijakan akses di ekosistem IoT, terutama pada perangkat yang terhubung langsung ke cloud. Policy scoping yang tidak tepat dapat menjadi pintu masuk bagi penyerang untuk menguasai ratusan ribu perangkat sekaligus, bukan hanya satu unit saja.

Kurangnya respons cepat dan transparansi dari SharkNinja menimbulkan kekhawatiran bahwa keamanan perangkat pintar masih diperlakukan sebelah mata, padahal dampak kebocoran data dan pengambilalihan kendali bisa berakibat serius bagi privasi dan keamanan pengguna.

Selanjutnya, pengguna perangkat IoT disarankan untuk selalu memantau pembaruan keamanan dari vendor dan waspada terhadap potensi risiko, terutama pada perangkat yang mengumpulkan data pribadi dan dapat dikendalikan dari jarak jauh. Sementara itu, SharkNinja harus segera mengeluarkan perbaikan kebijakan di cloud mereka dan meningkatkan komunikasi dengan komunitas keamanan.

Untuk informasi lebih lanjut dan update terkini, Anda dapat mengikuti laporan lengkapnya di The Hacker News serta sumber berita teknologi terpercaya lainnya.