两位研究人员计划详细介绍有效的工具，以便在不花大钱的情况下深入研究车辆网络安全的有效性。
一家中国知名汽车制造商的产品中存在多个安全漏洞，影响着数十万辆上路的汽车。由于法规，该公司的名称仍处于披露状态，但该公司的汽车在 2024 年售出超过 150,000 辆，这意味着中国道路上的许多汽车目前都存在这些缺陷。
“我们发现的漏洞可以在进行中间人攻击后导致远程汽车控制，”安全研究员 Yingjie Cao 说，他将与 Xinfeng Chen 一起在下个月的 Black Hat Asia 上登台讨论他们发现的漏洞。Cao 补充道，他们在两种不同的模型中发现了弱点。
Automotive 安全漏洞允许代码执行
两人发现的第一个错误存在于汽车的车载信息娱乐系统 （IVI），也称为音响主机，最终可能导致低权限代码执行。
“我们 [还可以] 转向另一个应用程序并使用另一个内核漏洞来获得信息娱乐 [系统] 的权限，”Cao 说，他在 2021 年首次发现了这个问题。“之后，我们可以获得一些有限的汽车控制功能，例如打开车门、打开后备箱、车窗或大灯。”
第二个漏洞是去年刚刚发现的，存在于该汽车的应用程序中，该应用程序没有自己的受信任证书。Cao 解释说，他和 Chen 只需注入假证书，就能够劫持该应用程序的所有流量。除此之外，两人还能够获得一个令牌，让他们能够远程控制汽车。
他们说，Cao 和 Chen 在研究中描述的中间人 （MiTM） 漏洞是“初级水平”，并补充说，任何对网络安全有一定了解的人都可以实施此类攻击。
软件安全就是车辆安全
如今，许多汽车公司在利用网络安全技能和资源方面仍在努力追赶。
在 Synopsys 和 SAE international 委托进行的一项研究中，研究人员发现，典型的汽车组织只有 9 名全职员工专注于产品网络安全管理。
更糟糕的是，30% 的受访者表示他们的组织中根本没有网络安全团队。而那些拥有此类安全程序的公司只测试了不到其车辆中包含的硬件、软件和其他技术的一半。
与此同时，越来越多的发现汽车被入侵。
以 最近在 Mazda 的 IVI 系统中发现的六个未修补的漏洞为例，这些漏洞可以通过简单的 USB 进行利用。有些漏洞可能允许整个软件系统遭到破坏，而另一个漏洞可能允许威胁行为者转向汽车的控制器局域网 （CAN） 总线，负责汽车的物理功能。
鉴于汽车内部“软件定义”功能的趋势，这种状况变得更加令人担忧;更多的代码意味着更多可利用的漏洞，其中许多漏洞可以远程执行。
由于安全研究人员无法访问专有组件和软件，因此对车辆硬件的动手安全研究仍然难以执行，这些组件和软件可能受到保护或获得成本非常高。因此，作为研究的一部分，Cao 和 Chen 还旨在通过展示暴露网络安全漏洞的替代方法来突破如何发现漏洞的界限。
“在我们的谈话中，我们将表达我们没有购买任何零件，”Cao 说。“我们只是进行了远程测试。”
信息来源：https://www.darkreading.com/cybersecurity-operations/mitm-vulns-research-opportunities-car-security
AI API 安全 DMARC 中国 云安全 五角大楼 人工智能 关税 加密货币 勒索软件 品牌冒充 国家安全 威胁情报 应用程序安全 恶意软件 数字货币 时事政治 时政 时政新闻 木马病毒 欺诈管理和网络犯罪 欺骗 民族国家攻击 漏洞和威胁 特朗普政府 社会工程学 社会工程学、网络战 移动安全 端点安全 缺口 网络安全 网络安全运营 网络攻击和数据泄露 网络犯罪 网络罪犯 网络钓鱼 网络间谍 网络风险 美国贸易代表办公室 联邦贸易委员会 脆弱性 金融与银行 间谍软件 阿联酋 骗局