受漏洞影响的知名品牌包括宝马、劳斯莱斯、梅赛德斯-奔驰、法拉利、保时捷、捷豹、路虎、福特、起亚、本田、英菲尼迪、日产、讴歌、现代、丰田和捷尼赛思。

这些漏洞还影响了汽车技术品牌Spireon和Reviver以及流媒体服务SiriusXM。

Sam Curry领导的一组研究人员此前在2022年11月曾首次披露现代、捷尼赛思、本田、讴歌、日产、因菲尼迪和SiriusXM存在此类API漏洞。

当时，Curry披露了黑客如何利用这些漏洞来解锁和启动汽车，但并未公布漏洞细节，在90天的漏洞披露静默期结束后，该团队发布了一篇详细介绍这些API漏洞的博客文章（链接在文末）。

Curry透露，存在漏洞的汽车厂商已修复该报告中提出的所有安全问题，因此现在黑客已经无法再利用这些漏洞。

奔驰内部门户：从源代码到客户信息全暴露

在宝马和奔驰公司的系统发现的API漏洞最为严重，两家企业内部网络SSO（单点登录）都存在漏洞，使攻击者能够访问其内部系统，分析师可以访问奔驰的多个私有GitHub实例、Mattermost上的内部聊天频道、服务器、Jenkins和AWS实例、连接到客户汽车的XENTRY系统等等，具体如下：

• 通过配置不当的SSO访问数百个任务关键型内部应用程序，包括...

• SSO后面的多个Github实例

• 公司范围内的内部聊天工具，攻击者能够加入几乎任何频道

• SonarQube、Jenkins、misc.build servers

• 用于管理AWS实例的内部云部署服务

• 车辆内部相关接口

• 在多个系统上远程执行代码

• 内存泄漏导致员工/客户PII泄露、帐户访问

宝马、劳斯莱斯：经销商门户洞开

对于宝马，研究人员可以访问其内部经销商门户，查询任何汽车的VINs，并检索包含敏感车主详细信息的销售文件。此外，研究者可以利用SSO漏洞以任何员工或经销商的身份登录，并访问仅供内部使用的应用程序。

在宝马门户网站访问车辆详细信息

知名车企车主个人信息暴露无遗

利用其他API漏洞，研究人员可以访问起亚、本田、英菲尼迪、日产、讴歌、奔驰、现代、捷尼赛思、宝马、劳斯莱斯、法拉利、福特、保时捷和丰田汽车的所有者的PII（个人身份信息）。

对于超豪华汽车的车主，个人信息泄露尤其危险。研究者可以访问的豪华车主个人信息包括销售信息、汽车定位信息和客户地址等。

例如法拉利的漏洞让攻击者可以零交互接管任何法拉利车主个人账户。原因是法拉利在其CMS上的SSO实施暴露了后端API路由，并使得从JavaScript脚本中提取凭据成为可能。

攻击者可利用这些漏洞访问、修改或删除任何法拉利客户帐户，管理其车辆配置文件或将自己设置为车主。

黑客可实时跟踪车辆

披露的漏洞还可能允许黑客实时跟踪汽车，引入潜在的物理风险并威胁数百万车主的隐私。

例如，保时捷的远程信息处理系统存在漏洞，使攻击者能够检索车辆位置并发送命令。

GPS跟踪解决方案Spireon也容易受到汽车位置泄露的影响，殃及使用其服务的1550万辆汽车，攻击者甚至可以完全管理访问其远程管理面板，远程解锁汽车，启动发动机或禁用启动器。

第三个存在位置泄露问题的企业是Reviver，这是一家数字车牌制造商，容易受到未经身份验证的远程访问其管理面板的攻击，该面板可能使任何人都可以访问车辆的GPS数据和用户记录，甚至更改汽车的牌号信息。

攻击者可以在管理面板中将目标车辆标记为“被盗”，这将自动通知警方，使车主/司机面临不必要的麻烦和风险。

远程修改车牌号码

专家建议车主应尽量减少暴露个人信息

车主可以通过最大限度减少存储在车辆或汽车APP中的个人信息来保护自己免受此类漏洞的影响。

将车载远程信息处理设置为最高私密等级，并阅读汽车厂家的隐私政策以了解其数据的使用方式也很重要。

安全专家还建议车主在购买二手车时，确保先前车主的帐户已被删除。如果可能的话，使用强密码并为汽车应用程序和服务的登录设置双因素身份验证。

参考链接：

https://samcurry.net/web-hackers-vs-the-auto-industry/

更多文章

智能网联汽车信息安全综述

软件如何「吞噬」汽车？

汽车信息安全 TARA 分析方法实例简介

汽车FOTA信息安全规范及方法研究

联合国WP.29车辆网络安全法规正式发布

滴滴下架，我却看到数据安全的曙光

从特斯拉被约谈到车辆远程升级（OTA）技术的合规

如何通过CAN破解汽

会员权益: (点击可进入)谈思实验室VIP会员

END

微信入群

谈思实验室专注智能汽车信息安全、预期功能安全、自动驾驶、以太网等汽车创新技术，为汽车行业提供最优质的学习交流服务，并依托强大的产业及专家资源，致力于打造汽车产业一流高效的商务平台。

每年谈思实验室举办数十场线上线下品牌活动，拥有数十个智能汽车创新技术的精品专题社群，覆盖BMW、Daimler、PSA、Audi、Volvo、Nissan、广汽、一汽、上汽、蔚来等近百家国内国际领先的汽车厂商专家，已经服务上万名智能汽车行业上下游产业链从业者。专属社群有：信息安全、功能安全、自动驾驶、TARA、渗透测试、SOTIF、WP.29、以太网、物联网安全等，现专题社群仍然开放，入满即止。

扫描二维码添加微信，根据提示，可以进入有意向的专题交流群，享受最新资讯及与业内专家互动机会。

谈思实验室，为汽车科技赋能，推动产业创新发展！