Ngày 09 tháng 1 năm 2023Ravie LakshmananAn ninh ô tô
Nhiều lỗi ảnh hưởng đến hàng triệu phương tiện từ 16 nhà sản xuất khác nhau có thể bị lạm dụng để mở khóa, khởi động và theo dõi ô tô, đồng thời ảnh hưởng đến quyền riêng tư của chủ sở hữu ô tô.
Các lỗ hổng bảo mật đã được tìm thấy trong API ô tô cung cấp năng lượng cho Acura, BMW, Ferrari, Ford, Genesis, Honda, Hyundai, Infiniti, Jaguar, Kia, Land Rover, Mercedes-Benz, Nissan, Porsche, Rolls Royce, Toyota cũng như trong phần mềm từ Reviver, SiriusXM và Spireon.
Các lỗ hổng có phạm vi rộng, từ những lỗ hổng cấp quyền truy cập vào hệ thống nội bộ của công ty và thông tin người dùng đến những điểm yếu cho phép kẻ tấn công gửi lệnh từ xa để thực thi mã.
Nghiên cứu được xây dựng dựa trên những phát hiện trước đó từ cuối năm ngoái, khi nhà nghiên cứu của Yuga Labs, Sam Curry và cộng sự, nêu chi tiết các lỗ hổng bảo mật trong dịch vụ phương tiện được kết nối do SiriusXM cung cấp, có khả năng khiến ô tô có nguy cơ bị tấn công từ xa.
Vấn đề nghiêm trọng nhất, liên quan đến giải pháp viễn thông của Spireon, có thể đã bị khai thác để có toàn quyền truy cập quản trị, cho phép kẻ thù ra lệnh tùy ý cho khoảng 15,5 triệu phương tiện cũng như cập nhật chương trình cơ sở của thiết bị.
Các nhà nghiên cứu cho biết: “Điều này sẽ cho phép chúng tôi theo dõi và tắt khởi động cho cảnh sát, xe cứu thương và các phương tiện thực thi pháp luật cho một số thành phố lớn khác nhau và gửi lệnh đến những phương tiện đó”.
Các lỗ hổng được xác định trong Mercedes-Benz có thể cấp quyền truy cập vào các ứng dụng nội bộ thông qua sơ đồ xác thực đăng nhập một lần (SSO) được định cấu hình không đúng cách, trong khi các lỗ hổng khác có thể cho phép chiếm đoạt tài khoản người dùng và tiết lộ thông tin nhạy cảm.
Các lỗ hổng khác cho phép truy cập hoặc sửa đổi hồ sơ khách hàng, cổng đại lý nội bộ, theo dõi vị trí GPS của xe trong thời gian thực, quản lý dữ liệu biển số xe cho tất cả khách hàng Reviver và thậm chí cập nhật trạng thái xe là “bị đánh cắp”.
Mặc dù tất cả các lỗ hổng bảo mật đã được khắc phục bởi các nhà sản xuất tương ứng sau khi tiết lộ có trách nhiệm, nhưng những phát hiện này nhấn mạnh sự cần thiết của chiến lược phòng thủ chuyên sâu để ngăn chặn các mối đe dọa và giảm thiểu rủi ro.
Các nhà nghiên cứu lưu ý: “Nếu kẻ tấn công có thể tìm thấy lỗ hổng trong các điểm cuối API mà hệ thống viễn thông của phương tiện sử dụng, chúng có thể bấm còi, nháy đèn, theo dõi, khóa/mở khóa và khởi động/dừng phương tiện từ xa hoàn toàn”.
