马自达的 6 个信息娱乐漏洞可通过 USB 遭到黑客攻击

西部数码

马自达车载信息娱乐 (IVI) 系统中的六个未修补的漏洞可以通过一个简单的 USB 立即被利用,其中一个漏洞会对车辆安全造成合法后果。 如今,汽车只是车轮上的计算机,而车载信息系统…

马自达车载信息娱乐 (IVI) 系统中的六个未修补的漏洞可以通过一个简单的 USB 立即被利用,其中一个漏洞会对车辆安全造成合法后果。

如今,汽车只是车轮上的计算机,而车载信息系统就是它们的用户界面。近年来,大多数马自达汽车(例如马自达 3 和 CX-3、5 和 9)中的 IVI 均采用由密歇根州伟世通公司开发的马自达 Connect 连接主单元 (CMU) 构建。 CMU 是支持各种连接服务的核心硬件组件:智能手机集成、Wi-Fi 热点以及各种远程监控和控制功能。

最近通过趋势科技零日计划 (ZDI) 进行的研究发现了Mazda IVI 中的六个漏洞。其中一些可以实现整个系统的妥协,并访问各种敏感数据。特别值得注意的是,攻击者可以利用车辆的控制器局域网(CAN)总线——连接车辆各个组成部分的中枢神经系统。

尚未根据通用漏洞评分系统 (CVSS) 为所有漏洞分配值。截至撰写本文时,所有这些都尚未修补。有利的一面是:它们都要求攻击者将恶意 USB 物理插入中控台。这种情况——由劫车犯、或者可能是代客或经销商实施——迄今为止在现实世界中基本上是闻所未闻的。

Dark Reading 已联系伟世通,请其对此事发表进一步评论。

马自达 IVI 的 6 个安全漏洞

其中三个漏洞(CVE-2024-8358、CVE-2024-8359 和 CVE-2024-8360)针对用于在软件更新期间定位和提取特定文件的功能。由于提供的文件路径未经清理,攻击者可以通过自己的恶意注入介入,该注入会在系统的根级别执行。通过特制的命令,这种一步破解可以促进整个系统的接管。

剥皮的另一种方法是利用 CVE-2024-8357,影响运行 Linux 的 CMU 片上系统 (SoC)。 SoC 的启动过程没有适当的身份验证,因此具有执行代码能力的攻击者可以利用它来操纵文件,通过重新启动建立持久性,甚至在系统启动之前就建立对系统的控制。

马自达IVI;资料来源:趋势科技的 ZDI

CVE-2024-8355 乍一看可能与其他漏洞有些不同,但实际上,它是由相同的根本问题引起的:输入数据缺乏清理。

为了与 Apple 设备建立连接,CMU 将请求设备的序列号。由于它不会对该值进行审查,因此欺骗设备可以发送特制的 SQL 代码。系统的 DeviceManager 将在根级别运行该代码,从而导致各种恶意结果:数据库暴露、任意文件创建等。

最后但同样重要的是 CVE-2024-8356,它是 CMU 软件更新过程中缺少的验证。然而,这一点会影响该单元的另一个处理器,即验证 IP 微控制器单元 (VIP MCU)。出于安全目的,VIP MCU 被设计为与 SoC 分离,因为它不运行操作系统,而是连接到车辆的 CAN 总线。 CAN 总线又连接车辆的其余部分:从气候控制到发动机和安全气囊的所有部分。通过篡改固件映像,ZDI 证明可以跳过 SoC 来操纵 VIP MCU,并从那里到达 CAN 总线。

严重但不太可能产生的后果

ZDI 威胁意识主管达斯汀·柴尔兹 (Dustin Childs) 表示:“事实上,一旦攻击者能够访问 CAN 总线,就很难预测他们会做什么。” “由于 CAN 总线充当车辆的神经系统,因此威胁行为者可能会影响与 CAN 总线交互的任何电子控制单元 (ECU) 或组件。”翻译:攻击者几乎可以破坏车辆的任何可以想象的部分。

“最糟糕的情况是攻击者影响汽车的驾驶特性,使其操作不安全,”他补充道。

不过,威胁并不重要。尽管研究人员展示了所有的漏洞,但真正的犯罪分子仍然坚持使用那些久经考验的老方法进行妥协:窃取一组密钥;一个展开的衣架巧妙地插在窗户和门框之间;或者一块石头、一扇窗户和一次漂亮的棒球投掷。

“目前,对现实世界的影响并不大,”查尔兹承认。 “然而,随着汽车的互联程度越来越高,远程利用变得更加现实。在上一届 Pwn2Own Automotive 中,Synacktiv 的团队通过无线方式利用 Tesla Model 3 的调制解调器来访问车辆的车载系统并与之交互。完全、远程的车辆接管成为现实只是时间问题。”

他补充道:“这就是为什么制造商应该为每个组件建立安全性,而不是依赖其他模块的防御。车辆应该有一个多层保护系统,假设每条消息都可能来自受损的来源。我们越领先于现在遇到问题,将来就越容易做出反应。”

作者: quange

为您推荐

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

联系我们

联系我们

010-88881688

在线咨询: QQ交谈

邮箱: 231630334@qq.com

工作时间:周一至周五,9:00-17:30,节假日休息

关注微信
微信扫一扫关注我们

微信扫一扫关注我们

关注微博
返回顶部