Довольно странный недостаток кода SiriusXM может разблокировать ваш умный автомобиль

2 декабря 2022 г.

Согласно сообщениям, уязвимость в коде, которая позволяла преступникам угонять автомобили через Интернет, теперь устранена, и владельцам настоятельно рекомендуется немедленно обновить свои системы.

Недостаток был обнаружен в Connected Vehicle Services, пакет программного обеспечения, предлагающий множество функций, таких как автоматические уведомления о сбоях, расширенная помощь на дороге, удаленное отпирание дверей, удаленный запуск, помощь в поиске украденного автомобиля, пошаговая навигация и интеграция с устройствами умного дома.

Подключено Автомобильные службы созданы SiriusXM и используются большим количеством автопроизводителей, включая Honda, Nissan, Infiniti и Acura, все из которых были уязвимы.

VIN для авторизации

Эта уязвимость была обнародована исследователем безопасности Yuga Labs Сэмом Карри, который уже давно занимается поиском уязвимостей в безопасности автомобилей. В треде Twitter Карри объяснил, как работает уязвимость, и добавил, что SiriusXM уже исправил ее.

По-видимому, проблема возникла из-за того, что телематическая платформа использует идентификационный номер автомобиля (VIN), который часто находится на лобовом стекле, для авторизации команд и получения профилей пользователей.

< p>Это означает, что тот, кто знает VIN-номер, может дистанционно отдавать ряд команд, от открытия дверей до запуска двигателя.

Отвечая на результаты Реестра, представитель компании заявил, что SiriusXM была проинформирована через ее программу по поиску голов

"Мы серьезно относимся к безопасности учетных записей наших клиентов". и принять участие в программе вознаграждения за обнаружение ошибок, чтобы помочь выявить и исправить потенциальные недостатки безопасности, влияющие на наши платформы», — говорится в заявлении. 

«В рамках этой работы исследователь безопасности представил отчет Sirius XM’s Connected. Vehicle Services об ошибке авторизации, влияющей на конкретную программу телематики. Проблема была решена в течение 24 часов после отправки отчета. Никакие данные абонента или другие данные не были скомпрометированы, а несанкционированные учетные записи не были изменены с использованием этого метода."

• Это лучшие брандмауэры

Через: Реестр

---

Оригинал