Новости Исследователь рассказал, как взломать японские автомобили

NewsMaker

I'm just a script
Премиум
13,891
20
8 Ноя 2022

Уязвимость позволяет вскрыть «японку».​


15d8q31wli1abc1kn88w7sbonynh0ozv.jpg


Исследователь кибербезопасности Сэм Карри Для просмотра ссылки Войди или Зарегистрируйся , которая позволяет проводить кибератаки на автомобили Honda, Nissan, Infiniti и Acura через службу подключенных транспортных средств, предоставляемую компанией SiriusXM.

По словам эксперта кибербезопасности Сэма Карри, эта проблема может быть использована для:

  • разблокировки дверей;
  • запуска двигателя;
  • обнаружения автомобиля;
  • подачи сигнала автомобилю.

Более того, для всех этих действий достаточно знать VIN-номер автомобиля.

Услугами SiriusXM Connected Vehicles пользуются более 10 млн. автомобилей в Северной Америке, включая Acura, BMW, Honda, Hyundai, Infiniti, Jaguar, Land Rover, Lexus, Nissan, Subaru и Toyota.

Система Для просмотра ссылки Войди или Зарегистрируйся предоставляет следующие функции, среди прочих:

  • автоматическое уведомление о столкновении;
  • удаленное отпирание дверей,
  • удаленный запуск двигателя,
  • помощь в поиске угнанного автомобиля
  • интеграция автомобиля с системой «умный дом» и др.

Уязвимость связана с ошибкой авторизации в телематической программе, которая позволяет получать личные данные жертвы, а также выполнять команды на автомобиле путем отправки на конечную точку SiriusXM («telematics.net») специально созданного HTTP-запроса, содержащего VIN-номер.

Также Карри описал отдельную уязвимость, затрагивающую автомобили Hyundai и Genesis, которая с помощью зарегистрированных адресов электронной почты позволяет удаленно управлять замками, двигателем, фарами и багажниками автомобилей, выпущенных после 2012 года.

Путем обратной разработки приложений MyHyundai и MyGenesis и проверки API-трафика исследователи нашли способ обойти этап проверки электронной почты и удаленно захватить контроль над функциями целевого автомобиля. «Добавив символ CRLF в конце уже существующего email-адреса жертвы во время регистрации, мы смогли создать учетную запись, которая обошла проверку сравнения параметров JWT и электронной почты», — пояснил Карри.


content-img(878).png

На данный момент SiriusXM и Hyundai выпустили исправления для устранения недостатков.

Недавно издание Forbes рассказало, что федеральные правоохранительные органы вместе с иммиграционной и пограничной службами Для просмотра ссылки Войди или Зарегистрируйся . В 2022 году сотрудники иммиграционных служб и полицейские всё чаще стали собирать улики таким способом – иногда это даёт больше информации, чем телефон преступника.
 
Источник новости
https://www.securitylab.ru/news/535137.php

Похожие темы