Shelly smart home-sårbarhet åtgärdad med firmware-uppdatering

Bekvämlighet styr ofta designen av smarta hem. Shelly-sårbarheten visar hur den bekvämligheten oavsiktligt kan exponera enheter efter installation. Forskare upptäckte att vissa enheter behöll sitt installations-Wi-Fi aktivt, vilket gjorde det möjligt för personer i närheten att ansluta lokalt även efter att konfigureringen var klar.

Företaget svarade med en firmwareuppdatering, men diskussionen fortsätter om beteendet ska räknas som en sårbarhet eller avsedd funktion.

Vad forskarna hittade

Vissa Gen4-enheter från Shelly fortsatte sända sin konfigurations-accesspunkt efter installation. Nätverket finns för att hjälpa användare ansluta under installationen, men det förblev tillgängligt längre än väntat.

Alla inom trådlös räckvidd kunde ansluta och interagera med enhetens gränssnitt. Åtkomsten krävde varken internetangrepp eller avancerade verktyg. Fysisk närhet räckte.

Även om detta inte automatiskt gav full systemkontroll skapade det en direkt interaktionsväg som normalt borde stängas efter installation.

Företagets svar och firmwareuppdatering

Shelly uppgav att beteendet ursprungligen utformades för att förenkla underhåll och driftsättning i miljöer där installatörer behöver återkommande lokal åtkomst. Samtidigt erkände företaget möjlig risk för missbruk och tog fram en uppdatering.

Uppdateringen inför automatiska avstängningsregler:

• Installationsnätverket stängs kort efter konfigurering
• Accesspunkten startar inte igen utan manuell återställning
• Osäkra anslutningar avslutas om de inte används

Målet är att behålla enkel installation men minska onödig exponering.

Varför debatten spelar roll

Forskare klassar problemet som en sårbarhet eftersom användare rimligen förväntar sig att installationsnätverk försvinner automatiskt. Att låta dem vara aktiva ökar risken att någon i närheten ansluter utan tillåtelse.

Oenigheten belyser ett återkommande IoT-problem: funktioner byggda för bekvämlighet kan bli säkerhetsrisker när beteendet är otydligt under installationen.

Många användare kontrollerar aldrig nätverksaktiviteten efter installation och antar att enheten skyddar sig själv.

Verklig påverkan

Risken kräver fysisk närvaro, vilket betyder att grannar, besökare eller personer nära byggnaden kan försöka få åtkomst. I delade bostäder eller kontor ökar exponeringen ytterligare.

Via gränssnittet kan någon påverka smart belysning, automationsregler eller anslutna apparater beroende på konfiguration. Även begränsad åtkomst kan avslöja hushållsmönster eller möjliggöra oönskad kontroll.

Smarta hem bygger på tillit till osynliga bakgrundsprocesser, vilket gör oupptäckta inställningar särskilt känsliga.

Slutsats

Shelly-sårbarheten visar hur användbarhetsbeslut påverkar säkerheten. En installationsfunktion avsedd för bekvämlighet förblev aktiv längre än användare förväntade sig och skapade lokal åtkomst.

Firmwareuppdateringen minskar risken genom att automatiskt stänga nätverket efter installation. Händelsen påminner om att skydd i smarta hem inte bara beror på stark kryptering utan också på förutsägbart beteende efter installation.