描述文字      

某公共云盘出现“灾难级 Bug”,你保存在云盘的照片可能被他人随意观看,你还敢用公共云盘备份你的私密照片吗?

起亚网站漏洞:数百万辆汽车可能面临远程控制风险

近日,安全研究员 Sam Curry 及其团队发现,起亚车主网站中存在严重漏洞,可能允许攻击者远程控制数百万辆汽车。通过这些漏洞,攻击者在仅使用车牌信息的情况下,可以在 30 秒内对车辆的关键功能进行控制,并收集车主的个人信息。

漏洞详情与潜在风险

这些漏洞让攻击者能够通过车牌信息,在未通知车主的情况下向车辆发送任意命令。攻击者不仅能控制车辆,还可以访问车主的个人数据,包括姓名、地址、电子邮件地址和电话号码。同时,攻击者甚至可以创建第二个用户并替换车主的访问权限,完全掌控车辆。

漏洞工作原理

Curry 解释说,起亚车主网站依赖后端反向代理重定向命令到负责执行的 API,这为攻击者提供了机会。通过利用这些机制,攻击者可以远程发出解锁、启动甚至按喇叭等命令。此外,起亚经销商网站也存在类似漏洞,攻击者可以通过伪造访问令牌来调用后端经销商 API,获取与车辆查找、帐户查找等相关的敏感信息。

研究人员通过注册到起亚经销商网站,生成访问令牌,并使用修改后的渠道标头绕过验证,成功访问车主的个人信息。更为严重的是,攻击者能够将自己添加为主要帐户持有人,从而完全控制车辆。

PoC 演示与影响

研究团队还构建了一个概念验证(PoC)仪表板,展示了攻击者如何输入车牌号,检索车主信息并远程控制车辆。根据研究人员的说法,这些漏洞影响几乎所有 2013 年后制造的起亚汽车。

Curry 表示,从车主的角度来看,他们完全无法察觉车辆被访问或访问权限被修改,攻击者可以被动追踪车辆,并主动发送各种命令,带来巨大的安全隐患。

起亚的回应

这一系列问题于 2024 年 6 月报告给起亚,起亚迅速承认了这些漏洞并着手修复,并于 2024 年 8 月中旬实施。

总结

随着汽车智能化的快速发展,联网功能为用户带来了更多便利的同时,也带来了新的安全风险。车主和汽车制造商需要更加重视网络安全,确保车辆及个人数据的安全防护。起亚漏洞事件提醒我们,未来的汽车安全不仅仅是机械防护,还需要对数字和网络威胁有足够的重视和应对。

车主们应时刻保持警惕,并及时更新厂商提供的安全补丁,确保车辆处于最佳的安全状态。

Leave a Comment

Your email address will not be published. Required fields are marked *