VIDEO | Volkswageni kontserni sõidukitest avastati vead, mis võimaldavad neid reaalajas jälgida

Küberturbefirma PCAutomotive turvauurijate meeskond avastas Volkswageni kontserni mõnedes sõidukites kasutatavates infotainment-seadmetes mitu haavatavust. Kaugründajad saavad neid vigu ära kasutada teatud kontrollide saavutamiseks ja autode asukoha jälgimiseks reaalajas.

Danila Parnishchevi ja Artem Ivachevi juhitud meeskond avastas koguni 12 haavatavust MIB3 infotainment-süsteemides, mida kasutatakse paljudes VW grupi autodes, kirjutab portaal Security Affairs.

Volkswagen Group ei tooda oma MIB3 infotainment-süsteeme ise, vaid hangib neid tarnijatelt. Saadaval on mitu versiooni, sealhulgas Preh Car Connect GmbH, LG ja Aptivi mudelid. Eksperdid keskendusid Preh Car Connect GmbH toodetud MIB3 seadmetele.

Hiljuti Black Hat Europe’il avalikustatud haavatavused mõjutavad näiteks Škoda Superb III sedaani uusimat mudelit.

Oma väidete tõestamiseks avaldasid nad selle video:

Skeem on selline:

Teadlased tuvastasid probleemi telefoniraamatute sünkroonimisprotsessis Bluetoothi kaudu, kus telefoniraamat koosneb konkreetse struktuuriga vCardide jadast. Nad avastasid kontaktfotode käsitlemisel kriitilise vea, kus kontaktiga seotud foto teisendamine võib käivitada puhvri ülevoolu, mis võib viia suvalise koodi täitmiseni.

Ründaja võib haavatavust ära kasutada, et pääseda reaalajas juurde GPS-andmetele, pääseda juurde kontaktide loendile, jälgida kiirust, salvestada autosiseseid vestlusi, esitada helisid ja jäädvustada infotainment-ekraanipilte.

Autentimata ründaja saab probleemi ära kasutada sihtmärgist mitme meetri kaugusel.

Avastatud vead inglise keeles:

• CVE-2023-28902 DoS via integer underflow in picserver

• CVE-2023-28903 DoS via integer overflow in picserver

• CVE-2023-28904 Secure boot bypass in BL2

• CVE-2023-28905 Heap buffer overflow in picserver

• CVE-2023-28906 Command injection in networking service

• CVE-2023-28907 Lack of access restrictions in CARCOM memory

• CVE-2023-28908 Integer overflow in non-fragmented data (phone service)

• CVE-2023-28909 Integer overflow leading to MTU bypass (phone service)

• CVE-2023-28910 Disabled abortion flag (phone service)

• CVE-2023-28911 Arbitrary channel disconnection leading to DoS (phone service)

• CVE-2023-28912 Clear-text phonebook information

• CVE-2023-29113 Lack of access control in custom IPC mechanism

Volkswageni kontsern kinnitas, et mõned probleemid on juba lahendatud ja teised on lahendamisel.

„Infotainment-süsteemi teatatud haavatavustega on tegeletud ja neid kõrvaldatakse pideva täiustamise kaudu meie toodete elutsüklis. Mitte kunagi ei ole olnud ega ole mingit ohtu meie klientide või meie sõidukite turvalisusele,“ ütles Škoda pressiesindaja TechCrunchile.

Hiljutine uuring tugineb varasematele uuringutele – neis tuvastasid 2022. aastal Volkswageni sõidukites 21 haavatavust.