eWeLink-QR-Code

eWeLink 移动应用 - 不正确的访问控制漏洞 CVE-2021-27941 在 eWeLink 移动应用（Android 版至 4.9.2，iOS 版至 4.9.1）的二维码配对模式中，对设备私有加密密钥的无限制 Web 访问，使得物理邻近的攻击者能够通过监听设备配对过程中的 Wi-Fi 频谱，窃听 Wi-Fi 凭据及其他敏感信息。 配对协议及漏洞详情 从用户角度来看，通过 eWeLink 应用实现的物联网设备与用户 Wi-Fi 之间的基于二维码的配对过程如下： 用户将物联网设备启动至配对模式。 用户使用 eWeLink 应用扫描贴在物联网设备上的二维码。...