Kinesiske forskere opdagede 14 sårbarheder på indbyggede computere på en række BMW køretøjer, hvilket førte til, at bilproducenten begyndte at udstede sikkerhedsrettelser over-the-air og gennem forhandlernetværk. Disse fejl påvirker infotainmentenheden, telematikstyringen og de trådløse kommunikationssystemer på BMWs i-serie, X1 sDrive, 5-serie og 7-serie-modeller, der går så langt tilbage som 2012. Fire af de opdagede sårbarheder kræver, at hackere har fysisk USB-adgang til bilen, mens seks af sårbarhederne kan fjernudnyttes. De sidste fire sårbarheder kræver fysisk adgang til bilens computer.
"Vores forskningsresultater har vist, at det er muligt at få lokal og fjernadgang til infotainment, T-Box-komponenter og UDS kommunikation over en vis hastighed [for] udvalgte BMW-køretøjsmoduler og været i stand til at få kontrol over CAN-busserne med udførelsen af vilkårlige, uautoriserede diagnostiske anmodninger om BMW in-car-systemer eksternt," skrev forskerne ved Tencent's Keen Security Lab i en
foreløbig rapport, og bemærker, at en komplet rapport ville være tilgængelig engang i 2019 for at give BMW tid til at rette fejlene.Anbefalede videoer
Derudover, hvis en hacker har adgang til køretøjet fysisk, kan USB-, Ethernet- og OBD-II-portene også blive udnyttet. Fordi USB Ethernet-grænsefladen ikke har sikkerhedsbegrænsninger, kan den bruges til at få adgang til hovedenhedens internetnetværk og opdage de eksponerede interne tjenester gennem portscanning, rapporten sagde. Hackere kan også bruge en USB-stick til at indsprøjte ondsindet kode i BMWs ConnectedDrive ved at få rodkontrol over hu-intel-systemet.
Relaterede
- BMW sender biler uden annoncerede Apple- og Google-funktioner
- Arlo Security System bringer alt-i-én-funktionalitet takket være dets multisensor
- Opdater Google Chrome nu for at rette denne kritiske sikkerhedsfejl
Hackere kan også udløse fjernudførelse af kode, hvis de ikke har adgang til et køretøj ved at udnytte hukommelseskorruption sårbarheder, der gjorde det muligt for brugere at omgå signaturbeskyttelse i firmwaren og bryde sikker isolation af forskellige systemer komponenter. (I 2015, en 14-årig hackede en bil med teknologi til en værdi af $15 ved at bruge en lignende teknik.) Ved at få adgang til CAN-busser kan en angriber fjernudløse fjernbetjening diagnostiske funktioner ved at udnytte en kæde af flere sårbarheder på tværs af flere berørte køretøjer komponenter. Hackere kan sende vilkårlig diagnostik til motorcomputeren. Faren er ifølge forskere, at motorstyringsenheden eller ECU'en stadig vil reagere på diagnosticering beskeder selv ved normale kørehastigheder, og "det vil blive meget værre, hvis angribere påberåber sig nogle specielle UDS rutiner.”
"Ved at kæde sårbarhederne sammen, er vi i stand til eksternt at kompromittere NBT [bilcomputeren]," sagde forskere. "Derefter kan vi også udnytte nogle specielle fjerndiagnosegrænseflader implementeret i Central Gateway Module til at sende vilkårlige diagnostiske meddelelser (UDS) for at styre ECU'er på forskellige CAN-busser."
I en udtalelse til ZDNet, bemærkede BMW Group, at undersøgelsen blev udført i samarbejde med BMWs cybersikkerhedsteam, hvilket fremhævede, at "tredjeparter spiller i stigende grad en afgørende rolle i at forbedre bilsikkerheden, da de udfører deres egne dybdegående test af produkter og tjenester."
Redaktørernes anbefalinger
- M1 har et stort sikkerhedshul, som Apple ikke kan lappe
- BMW viser en elbil med farveskiftende lak frem ved CES 2022
- Hvordan Apples stramme økosystem af produkter kan underminere sin egen sikkerhed
- Din Dell bærbare computer kan have en sikkerhedssårbarhed. Sådan løser du det.
- Nvidia advarer ejere af dets GPU'er om en farlig sikkerhedssårbarhed
Opgrader din livsstilDigital Trends hjælper læserne med at holde styr på den hurtige teknologiske verden med alle de seneste nyheder, sjove produktanmeldelser, indsigtsfulde redaktionelle artikler og enestående smugkig.
