CheckPointResearch团队在今年对Kindle的研究中发现，一旦受害者打开恶意电子书，就会触发漏洞利用链。如果不经意地利用这些漏洞，攻击者可能会完全控制用户的Kindle，从而窃取亚马逊设备令牌或存储在设备上的其他敏感信息。CPR已负责任地向亚马逊披露其调查结果，亚马逊随后部署了修复程序。据估计，Kindle自2007年推出以来已售出数千万台。CPR计划在今年拉斯维加斯的DEFCON会议上展示该漏洞。BookasMalwareResearch由CPR团队发现，该漏洞首先需要向受害者发送恶意电子书。一旦电子书到达，受害者打开它就会启动漏洞利用链，该漏洞利用链会自动实施，而无需受害者采取任何额外操作。CPR证实，电子书可能被用作针对Kindle的恶意软件，并造成严重后果。例如，攻击者可以删除用户的电子书，或者将Kindle变成可以攻击用户本地网络上其他设备的恶意机器人。通过语言攻击特定群体让CPR团队更加担心安全漏洞本身允许攻击者针对特定受众。例如，如果攻击者试图针对特定人群或群体，则很容易选择相关语言或方言的流行电子书来策划针对性很强的网络攻击。披露2021年2月，CPR向亚马逊披露了其调查结果。亚马逊于2021年4月在Kindle固件更新版本5.13.5中部署了该修复程序。修补后的固件将自动安装到联网设备上。CheckPointSoftwareTechnologies网络研究主管YanivBalmas表示：“我们发现了Kindle中的漏洞，攻击者可以利用这些漏洞完全控制设备。通过向Kindle用户发送恶意电子书，攻击者可以窃取存储在设备上的数据，包括亚马逊帐户凭据和账单信息。与其他物联网设备一样，Kindle的安全风险通常被认为是无害的。但我们的研究表明，任何电子设备都处于天，某种形式的计算机。因此，这些物联网设备容易受到与计算机相同的攻击。每个人在使用任何连接到计算机的设备时都应该意识到网络风险，尤其是像亚马逊Kindle这样无处不在的设备。我们最关心的调查结果之一是针对漏洞利用攻击的受害者，这是一种允许攻击者针对特定受众的安全漏洞。举一个随机的例子，如果一个攻击者试图攻击一个国家的公民，他所要做的就是用该国的语言免费出版一些流行的电子书。因此，攻击者可以确定他的所有受害者实际上都是该国家或语言的使用者。这种有针对性的攻击在网络犯罪和网络间谍活动中备受追捧。在错误的人手中，这种进攻能力造成严重破坏的可能性令我们非常担忧。再一次证明，我们可以发现此类漏洞并确保在“真正的”攻击者有机可乘之前进行有效规避。亚马逊在整个协作披露过程中与我们密切合作，很高兴看到亚马逊为这些安全问题部署了补丁。“
