Cybersecurity-Forscher haben eine Sicherheitslücke entdeckt, durch die Autos von Honda, Nissan, Infiniti und Acura über einen von SiriusXM bereitgestellten Dienst für vernetzte Fahrzeuge angegriffen werden können.
Die Schwachstelle könnte ausgenutzt werden, um ein beliebiges Auto zu entriegeln, zu starten, zu orten und zu hupen, wenn man nur die Fahrzeugidentifikationsnummer (VIN) des Fahrzeugs kennt, sagte der Forscher Sam Curry letzte Woche in einem Twitter-Thread.
Die Connected Vehicles (CV) Services von SiriusXM werden angeblich von mehr als 10 Millionen Fahrzeugen in Nordamerika genutzt, darunter Acura, BMW, Honda, Hyundai, Infiniti, Jaguar, Land Rover, Lexus, Nissan, Subaru und Toyota.
Das System soll eine breite Palette von Sicherheits- und Komfortdiensten ermöglichen, wie z. B. automatische Unfallbenachrichtigung, erweiterte Pannenhilfe, Türfernentriegelung, Motorfernstart, Unterstützung bei der Wiederbeschaffung gestohlener Fahrzeuge, Turn-by-Turn-Navigation und Integration von Smart-Home-Geräten.
Die Schwachstelle bezieht sich auf einen Autorisierungsfehler in einem Telematikprogramm, der es ermöglichte, die persönlichen Daten eines Opfers abzurufen und Befehle auf den Fahrzeugen auszuführen, indem eine speziell gestaltete HTTP-Anfrage mit der Fahrzeugidentifikationsnummer an einen SiriusXM-Endpunkt („telematics.net“) gesendet wurde.
In diesem Zusammenhang wies Curry auch auf eine weitere Schwachstelle hin, die Hyundai- und Genesis-Fahrzeuge betrifft und mit deren Hilfe die Schlösser, Motoren, Scheinwerfer und Kofferräume der nach 2012 hergestellten Fahrzeuge über die registrierten E-Mail-Adressen ferngesteuert werden können.
Durch Reverse-Engineering der MyHyundai- und MyGenesis-Apps und Inspektion des API-Verkehrs fanden die Forscher eine Möglichkeit, den Schritt der E-Mail-Validierung zu umgehen und die Kontrolle über die Funktionen eines Zielfahrzeugs aus der Ferne zu übernehmen.
„Durch das Hinzufügen eines CRLF-Zeichens am Ende einer bereits vorhandenen Opfer-E-Mail-Adresse während der Registrierung konnten wir ein Konto erstellen, das die JWT- und E-Mail-Parameter-Vergleichsprüfung umging“, erklärte Curry.
SiriuxXM und Hyundai haben inzwischen Patches veröffentlicht, um die Schwachstellen zu beheben.
Die Sandia National Laboratories haben eine Reihe bekannter Schwachstellen in der Infrastruktur für das Aufladen von Elektrofahrzeugen (EV) zusammengefasst, die ausgenutzt werden könnten, um Kreditkartendaten abzuschöpfen, die Preisgestaltung zu ändern und sogar ein ganzes EV-Ladenetz zu kapern.
Fanden Sie diesen Artikel interessant? Folgen Sie uns auf Twitter und LinkedIn, um weitere exklusive Inhalte von uns zu lesen.
Einige Teile dieses Artikels stammen aus:
thehackernews.com
Digitaler Gigant ABB zahlt 315 Millionen Dollar im Bestechungsfall