Platform mainan seks yang terhubung Lovense rentan terhadap cacat nol hari yang memungkinkan penyerang untuk mendapatkan akses ke alamat email anggota hanya dengan mengetahui nama pengguna mereka, menempatkan mereka pada risiko doxxing dan pelecehan.
Lovense adalah produsen mainan seks interaktif, terkenal karena memproduksi mainan seks yang dikendalikan oleh aplikasi dengan nama-nama seperti The Lush, The Gush, dan, mungkin yang paling berani, The Kraken. Perusahaan mengklaim memiliki 20 juta pelanggan di seluruh dunia.
Sementara mainan Lovense biasanya digunakan untuk hiburan lokal dan jarak jauh, mereka juga populer di kalangan model CAM yang memungkinkan pemirsa memberi tip atau berlangganan untuk kendali jarak jauh dari mainan mereka.
Namun, pengalaman yang terhubung juga dapat mengekspos nama pengguna Lovense mereka, dan karena cacat ini, berpotensi mengungkapkan alamat email pribadi mereka.
Nama pengguna Lovense sering dibagikan secara publik di forum dan media sosial, menjadikannya target mudah bagi penyerang.
Kelemahan itu ditemukan oleh peneliti keamanan Bobdahacker, yang berkolaborasi dengan peneliti EVA dan Rebane untuk merekayasa balik aplikasi dan mengotomatisasi serangan.
Para peneliti mengungkapkan dua kelemahan lebih dari empat bulan lalu, pada 26 Maret 2025. Namun, hanya satu dari kelemahan, cacat pembajakan akun kritis, kemudian diperbaiki.
Kelemahan Lovense
Kerentanan berasal dari interaksi antara sistem obrolan XMPP Lovense, digunakan untuk komunikasi antara pengguna, dan backend platform.
“Jadi semuanya dimulai ketika saya menggunakan aplikasi Lovense dan membisu seseorang. Itu saja. Hanya meredamnya,” jelas Laporan Bobdahacker.
“Tapi kemudian saya melihat respons API dan seperti … tunggu, apakah itu alamat email? Mengapa ada? Setelah menggali lebih dalam, saya menemukan cara mengubah nama pengguna menjadi alamat email mereka.”
Untuk mengeksploitasi cacat, penyerang membuat permintaan pos ke /api/wear/genGtoken API Endpoint dengan kredensial mereka, yang mengembalikan kunci enkripsi AES-CBC.
Penyerang kemudian mengambil nama pengguna Lovense yang diketahui publik dan mengenkripsi itu menggunakan kunci enkripsi yang diambil. Payload terenkripsi ini dikirim ke /app/ajaxCheckEmailOrUserIdRegisted?email={encrypted_username} Titik akhir API.
Server merespons dengan data yang berisi alamat email palsu, yang dikonversi oleh peneliti menjadi ID Jabber (JID) palsu yang digunakan oleh server XMPP Lovense.
Dengan menambahkan JID palsu ini ke daftar kontak XMPP mereka dan mengirimkan langganan kehadiran di atas XMPP (mirip dengan permintaan pertemanan), penyerang dapat menyegarkan daftar (daftar kontak), yang sekarang termasuk JID palsu dan yang asli yang terkait dengan akun target.
Namun, masalahnya adalah bahwa JID yang sebenarnya dibangun menggunakan email aktual pengguna, dalam format username!!!domain.com_w@im.lovense.com, yang memungkinkan penyerang untuk mengekstrak alamat email korban.
Misalnya, jika mengembalikan bleeping!!!xample.com_w@im.lovense.com, email aktual yang dihasilkan dari akun Lovense adalah bleeping@example.com.
Para peneliti mengkonfirmasi bahwa seluruh proses dapat diselesaikan dalam waktu kurang dari satu detik per pengguna dengan skrip. BleepingComputer membuat akun palsu hari ini dan membagikan nama pengguna kami dengan Bobdahacker, memungkinkan mereka untuk hanya terhubung sebagai teman dan mengembalikan email yang kami terdaftar.
Peneliti juga menyatakan bahwa tidak perlu menerima permintaan pertemanan untuk mengeksploitasi cacat.
BleepingComputer juga mengkonfirmasi bahwa relatif mudah untuk menemukan nama pengguna yang sah di forum dan situs-situs terkait Lovense, seperti Lovenselife.com.
Peneliti juga mengklaim bahwa ekstensi fanberry, yang dibuat oleh Lovense, dapat digunakan untuk memanen nama pengguna karena banyak model CAM menggunakan nama pengguna yang sama, memungkinkan pemanenan email skala luas.
Para peneliti juga menemukan kerentanan kritis yang membuat mereka benar -benar membajak akun.
Menggunakan hanya alamat email, penyerang dapat menghasilkan token otentikasi tanpa memerlukan kata sandi. Menggunakan token ini, penyerang dapat menyamar sebagai pengguna di platform Lovense, termasuk Lovense Connect, StreamMaster, dan CAM101.
Token ini dilaporkan bekerja di akun admin juga.
Sementara Lovense telah mengurangi cacat ini dengan menolak token pada API -nya, para peneliti mencatat bahwa Gtokens masih dapat dihasilkan tanpa kata sandi.
Kedua masalah itu dilaporkan ke Lovense pada 26 Maret 2025. Pada bulan April, setelah juga mengirimkan bug di Hackerone, Lovense memberi tahu para peneliti bahwa masalah email sudah diketahui dan diperbaiki dalam versi yang akan datang.
Perusahaan awalnya mengecilkan cacat pembajakan akun, tetapi setelah diberitahu itu dapat memungkinkan akses akun admin penuh, Lovense mereklasi ulang sebagai kritis.
Secara total, para peneliti menerima $ 3.000 untuk pengungkapan kekurangan.
Pada tanggal 4 Juni, perusahaan mengklaim kekurangan itu sudah diperbaiki, tetapi para peneliti mengkonfirmasi ini bukan masalahnya. Lovense akhirnya memperbaiki cacat pembajakan akun pada bulan Juli tetapi menyatakan bahwa akan membutuhkan waktu sekitar 14 bulan untuk menyelesaikan cacat email, karena akan mematahkan kompatibilitas dengan versi yang lebih lama dari aplikasi mereka.
“Kami telah meluncurkan rencana remediasi jangka panjang yang akan memakan waktu sekitar sepuluh bulan, dengan setidaknya empat bulan lagi diperlukan untuk sepenuhnya menerapkan solusi lengkap,” kata Lovense kepada peneliti.
“Kami juga mengevaluasi perbaikan yang lebih cepat, satu bulan. Namun, itu akan membutuhkan pemaksaan semua pengguna untuk segera meningkatkan, yang akan mengganggu dukungan untuk versi warisan. Kami telah memutuskan untuk menentang pendekatan ini demi solusi yang lebih stabil dan ramah pengguna.”
Para peneliti mengkritik respons ini, menyatakan perusahaan berulang kali mengklaim masalah itu ditetapkan ketika tidak.
“Pengguna Anda pantas mendapatkan yang lebih baik. Berhenti menempatkan dukungan aplikasi lama di atas keamanan. Sebenarnya perbaiki sesuatu. Dan uji perbaikan Anda sebelum mengatakan mereka bekerja,” tulis Bobdahacker dalam laporan itu.
Pada akhirnya, Lovense mengatakan mereka mengerahkan fitur proxy pada 3 Juli yang disarankan oleh para peneliti untuk mengurangi serangan. Namun, bahkan setelah melakukan pembaruan pasukan aplikasi, cacat itu tidak diperbaiki, jadi tidak jelas apa yang diubah.
Pada 2016, Beberapa kelemahan cinta Alamat email yang terbuka atau memungkinkan penyerang untuk menentukan apakah alamat email memiliki Accoune di Lovense.
BleepingComputer menjangkau Lovense untuk memberikan komentar tetapi tidak menerima tanggapan.
Deteksi & Respons Cloud untuk Dummies
Mengandung ancaman yang muncul secara real time – sebelum mereka berdampak pada bisnis Anda.
Pelajari bagaimana deteksi dan respons cloud (CDR) memberi tim keamanan keunggulan yang mereka butuhkan dalam panduan praktis dan tidak masuk akal ini.
