Уязвимост на Hyundai позволява хакване на ключалките и двигателя

Изследователи са открили недостатъци в редица приложения, свързани с марки автомобили, които са позволявали получаване на лични данни и дистанционно управление на превозни средства с помощта на лесно придобити идентификационни номера.

Изследователи в областта на сигурността са открили уязвимост, засягаща автомобилите Hyundai и Genesis, която би позволила на хакери да контролират от разстояние функции като заключването на вратите и двигателя.

Уязвимостта засяга автомобили на Hyundai и Genesis, пуснати на пазара от 2012г. насам, и е насочена към слабост в използването на несигурни данни за автомобила в мобилни приложения, предназначени за използване от собствениците на автомобилите.

Извикванията на API, използвани за управление на ключалките, клаксона, двигателя, фаровете и управлението на багажника на автомобилите, са лесно използваеми и могат да бъдат обратно разработени, за да дадат на хакерите пълен отдалечен достъп до функциите на автомобила, казват изследователите.

В тема в Twitter ловецът на бъгове Сам Къри обясни изцяло процеса. В рамките на засегнатите приложения функционалностите като заключване и отключване на автомобила на потребителя са били защитени зад токен за достъп – JSON уеб токен, генериран от автентикиран имейл акаунт, проверен спрямо HTTP заявката, направена в приложението, и идентификационния номер на автомобила (VIN).

Регулярният израз (regex), използван за приемане на имейл низове като валидни, обаче позволява включването на специални символи. Къри и колегите му изследователи бързо открили, че като добавят символа за връщане на карета в реда (CRLF) в края на имейл адрес, който вече съществувал в системата, могат да изпратят HTTP заявка към защитена крайна точка. Тя съдържа списък на автомобилите, регистрирани на дадения адрес, което позволява да се съберат VIN номерата на всеки избран клиент.

Използвайки фалшивия JWT, изследователите изпратиха заявка за отключване на автомобил до автомобил, собственост на сътрудник, и получиха обратно „200 OK“ в същия момент, когато ключалките на автомобила отговориха на заявката.

След като ръчният процес е бил установен, изследователите са успели да намалят значително стъпките, които е трябвало да предприеме хакер, като са използвали прост скрипт, написан на Python. При използването му е бил необходим само имейл адресът на жертвата, за да получи достъп до автомобила й, а командите са можели да се изпълняват изцяло в рамките на програмата.

Дерек Абдин, главен изпълнителен директор на компанията за изкуствен интелект furl, отговори на Къри с твърдението, че VIN номерата са широко достъпни на уебсайтовете на дилърите и че следователно хакерите могат да използват уязвимостта, без дори да се нуждаят от имейл адреса на жертвата.

По-късно самият Къри отбелязва, че VIN номерата често се появяват в долния ъгъл на предното стъкло на автомобила. Това означава, че хакер с физически достъп до автомобила би могъл да използва идентифицирания експлойт, за да получи достъп до жизненоважни системи.

По-рано през годината Къри и други изследователи проведоха стрес-тестове на редица подобни телематични приложения, като общата връзка беше разработчикът SiriusXM, както беше описано в последваща тема в Twitter.

SiriusXM предоставя системи за свързани превозни средства за автомобили от редица популярни автомобилни марки. Изследователите откриха, че чрез използването само на VIN номера на автомобила на клиента е възможно не само да се активират дистанционно функциите на автомобила, както при Hyundai, но и да се получи потребителският профил на клиента в приложението NissanConnect. Той съдържа данни, включително името, телефонния номер и адреса на жертвата. Подобни уязвимости бяха възпроизведени в приложенията на Honda, Infiniti, FCA и Acura.

Всички уязвимости бяха докладвани на съответните компании, а Къри изрично посочи Hyundai и SiriusXM като компании, които незабавно са закърпили уязвимостите.

Опасенията относно уязвимостта на автомобилите, които се свързват с приложения, съществуват от години. През 2016г. ФБР предупреди, че свързаните автомобили могат да бъдат хакнати, и особено подчерта риска, който представляват автомобилите, които се свързват с мобилни устройства. Същата година китайски хакери се насочиха дистанционно към Tesla, като изследователи по сигурността като Keen Labs на Tencent предадоха подробностите за успешната атака на фирмата за електромобили, за да ги коригира.

 

Източник: itpro.co.uk

Подобни публикации

6 февруари 2023

Новият крипто токен Dingo начислява такса за тр...

Изследователи от компанията за ИТ сигурност Check Point security са...
6 февруари 2023

#9 Cyber Security Talks Bulgaria ще се проведе...

След страхотното събитие на КиберКЛУБ // CyberCLUB е отново време з...
4 февруари 2023

Нов рансъмуер използва грешка във VMware и се ...

Хипервайзорите VMware ESXi са мишена на нова вълна от атаки, предна...
3 февруари 2023

Разкрити са нови уязвимости в сигурността при е...

Две нови слабости в сигурността, открити в няколко системи за зареж...
3 февруари 2023

Google Ads популяризира "виртуализиран" зловред...

Продължаваща кампания за злонамерена реклама в Google разпространяв...
2 февруари 2023

Нови варианти на руския шпионския софтуер Gamar...

Държавният център за киберзащита (ДЦКЗ) на Украйна назова официално...
1 февруари 2023

Microsoft спря продажбата на Windows 10 по-рано

Слагайки край на една епоха, Microsoft вече не продава директно про...
Бъдете социални
Още по темата
31/01/2023

Грешка ли е завръщането в о...

Три години след началото на пандемията...
24/01/2023

2022 г. счупи всички рекорд...

Най-големият руски доставчик на интернет услуги...
24/01/2023

Законопроект за онлайн безо...

От няколко години британското правителство обсъжда...
Последно добавени
06/02/2023

Новият крипто токен Dingo н...

Изследователи от компанията за ИТ сигурност...
06/02/2023

#9 Cyber Security Talks Bul...

След страхотното събитие на КиберКЛУБ //...
04/02/2023

Нов рансъмуер използва гре...

Хипервайзорите VMware ESXi са мишена на...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!