Agora Você Vê mi: Você Foi Pwned

A TASZK Security Labs não encontrou um simples bug de configuração na Xiaomi C400: descobriu uma falha estrutural no miIO, o protocolo que sustenta centenas de dispositivos Xiaomi. O bypass de autenticação não depende de senhas fracas ou reset físico, mas de uma corrida de tempo explorável no handshake, onde o atacante reenvia valores gerados pela câmera para pular a verificação do código de configuração. O PRNG fraco (TVE-2026-02) usa uClibc’s Lagged Fibonacci Generator, um algoritmo projetado para simulações, não para criptografia, permitindo prever chaves e nonces após menos de 22 pacotes. Já o heap buffer overflow (TVE-2026-03) não é um estouro genérico: ele corrompe metadados do alocador de memória (como chunk headers), dando controle preciso sobre a execução remota, o que torna o RCE confiável mesmo em firmware com ASLR ativado.

Essa combinação permite o 'cloud jailbreak': o atacante redireciona todo o tráfego de vídeo e comando da câmera para sua própria infraestrutura, sem tocar na nuvem da Xiaomi, e sem acionar alertas de integridade de firmware. A Xiaomi ainda não lançou patch, aviso oficial nem CVE, apesar de ter recebido o reporte em 4 de setembro de 2025. E isso não é isolado: câmeras IP representaram 19% de todos os exploits observados em 2025, com 820 mil tentativas de invasão diárias contra IoT, volume que se mantém estável em 2026.

Empresas que usam câmeras Xiaomi C400 em ambientes corporativos ou de vigilância crítica estão expostas a um acesso root persistente via Wi-Fi local, sem necessidade de credenciais, sem logs evidentes, e sem depender de atualizações manuais. O 'cloud jailbreak' transforma o dispositivo em um ponto cego de monitoramento: o vídeo flui para um servidor controlado pelo atacante, enquanto a interface da nuvem da Xiaomi mostra 'conexão normal'. Isso já foi replicado por atores estatais iranianos em câmeras Hikvision e Dahua em março de 2026, prova de que o modelo de exploração é operacionalmente viável em campo. Mais grave: como o miIO é usado em dezenas de outros produtos Xiaomi, essa vulnerabilidade pode estar disseminada além da C400, mas sem divulgação pública nem mecanismo de notificação obrigatória para consumidores ou empresas.