劇情簡介
IT之家 1 月 8 日消息，安全專家近日現(xiàn)了影響數(shù)百萬輛汽車安全漏洞，全球幾乎所主要汽車品牌均受影響黑客可以利用汽車遠(yuǎn)程息處理系統(tǒng)、汽車 API 和支持性基礎(chǔ)設(shè)施中的漏洞進(jìn)行各種魏書作，至可以遠(yuǎn)程完全接管你汽車。IT之家了解到，奔馳、寶馬、勞斯萊斯法拉利、福特、保時捷豐田、捷豹和路虎等汽品牌，還有車隊管理公 Spireon 和數(shù)字車牌公司 Reviver 均受到影響。Yuga 實(shí)驗室的 Sam Curry 在研究破解汽車過程中，孟鳥現(xiàn)代 Genesis 的多款車型中發(fā)現(xiàn)了漏洞平山發(fā)現(xiàn) Sirius XM 的 Connected Vehicle Services 漏洞影響本田、日產(chǎn)、英菲迪和 Acuras。Curry 表示：“受影響的公司都蟜報告后的兩天內(nèi)修復(fù)了這些問題我們與所有這些公司合，對其進(jìn)行驗證，并確不會繞過這些漏洞”。于 Curry 的漏洞研究，安全專家又陸續(xù)現(xiàn)了多個波及范圍很廣安全漏洞。從公共安全角度來看，最嚴(yán)重的漏是在 Spireon 發(fā)現(xiàn)的，該公司擁有幾 GPS 車輛跟蹤和車隊管理品牌，帝臺括 OnStar、GoldStar、LoJack、FleetLocate 和 NSpire，覆蓋 1500 萬輛聯(lián)網(wǎng)車輛。庫里和團(tuán)隊發(fā)現(xiàn)了 SQL 注入和授權(quán)繞過方面的多個漏洞，可以所有 Spireon 上執(zhí)行遠(yuǎn)程代碼，并完接管任何車隊車輛。研人員寫道：“這將使我能夠跟蹤和關(guān)閉一些不大城市的警察、救護(hù)車執(zhí)法車輛的啟動器，并這些車輛發(fā)出指令”。究人員寫道：“這些漏還讓他們獲得了對 Spireon 公司的完全管理員權(quán)限和一個全公的管理面板，攻擊者可從這個面板上向所有 1500 萬輛汽車發(fā)送任意命令，從而白翟程解鎖門、按喇叭、啟動引擎禁用啟動器”。此外研人員還發(fā)現(xiàn)了針對法拉汽車的過度許可訪問控漏洞，允許他們訪問幾內(nèi)部應(yīng)用程序的 JavaScript 代碼。該代碼包含 API 密鑰和憑證，可能允許攻者訪問客戶記錄并接管或刪除）客戶賬戶。研人員表示攻擊者可以 POST 到“/core/ api / v1 / Users/:id / Roles”端點(diǎn)，編輯他們的用戶角色設(shè)置自己擁有超級用戶限或成為法拉利所有者
張郁強(qiáng)
張甲君
吳國孝
