本文來自微信公眾號“數(shù)世咨詢”。
自2022年底以來，隨著生成式人工智能的興起，網(wǎng)絡(luò)安全領(lǐng)域遭遇了前所未有的挑戰(zhàn)。僅在2023年，勒索軟件的支付金額就飆升至超過11億美元。
多款馬自達汽車型號的信息娛樂系統(tǒng)存在漏洞，可能允許黑客以根權(quán)限執(zhí)行任意代碼，趨勢科技的零日漏洞計劃（ZDI）警告稱。
ZDI解釋說，這些問題存在是因為馬自達連接性主控單元（CMU）系統(tǒng)沒有正確清理用戶提供的輸入，這可能允許在車附近的黑客通過連接一個特制的USB設(shè)備向系統(tǒng)發(fā)送命令。
CMU在改裝社區(qū)中頗受歡迎，發(fā)布了軟件調(diào)整以修改其操作，由維斯汀制造，運行最初由約翰遜控制公司開發(fā)的軟件。
根據(jù)ZDI的說法，在軟件版本74.00.324A中發(fā)現(xiàn)的缺陷可以結(jié)合使用，以“實現(xiàn)對信息娛樂系統(tǒng)的完全和持久的妥協(xié)”。早期的軟件版本也可能受到影響。2014-2021年款的馬自達3及其他車型受到影響。
第一個安全漏洞被標記為CVE-2024-8355，存在的原因是，當(dāng)新蘋果設(shè)備連接時，CMU從設(shè)備獲取多個值，并在SQL語句中使用這些值而沒有進行清理。
這使得黑客能夠使用偽造的設(shè)備回復(fù)請求，發(fā)送特定命令，這些命令將在信息娛樂系統(tǒng)上以根權(quán)限執(zhí)行，從而導(dǎo)致數(shù)據(jù)庫操作、任意文件創(chuàng)建，甚至可能執(zhí)行代碼。
“ZDI表示：‘由于輸入的明顯長度限制為0x36字節(jié)，利用此漏洞的可能性有所限制，但這可以通過讓多個偽造的iPod一個接一個地連接來規(guī)避，每個iPod都用自己的注入SQL語句替代序列號。’”
另外三個不當(dāng)輸入清理漏洞，分別被標記為CVE-2024-8359、CVE-2024-8360和CVE-2024-8358，影響支持更新過程的功能，可能允許黑客“注入任意操作系統(tǒng)命令，這些命令將由主機操作系統(tǒng)的shell執(zhí)行”，從而導(dǎo)致系統(tǒng)完全被攻陷。
第五個漏洞，標記為CVE-2024-8357，存在于運行Linux的應(yīng)用程序SoC中，因為未對操作系統(tǒng)啟動步驟實施身份驗證，允許攻擊者操縱根文件系統(tǒng)、配置數(shù)據(jù)以及用于持久性、SSH密鑰安裝和代碼執(zhí)行的引導(dǎo)代碼。
第六個漏洞CVE-2024-8356影響了主機的第二個系統(tǒng)，即運行未指定操作系統(tǒng)的MCU，該系統(tǒng)支持CMU功能，如CAN和LIN連接，并在CMU軟件的字符串中被標識為VIP。
在軟件更新過程中，VIP也會被更新，ZDI發(fā)現(xiàn)可以操縱特定字符串，一旦被更新腳本接受，將導(dǎo)致驗證一個被修改的固件鏡像，該鏡像將被重新編程回VIP MCU。
“在更全球的意義上，這使得黑客能夠通過安裝一個精心制作的固件版本，從一個運行Linux的受損應(yīng)用程序SoC轉(zhuǎn)向VIP MCU，并隨后直接訪問車輛的連接CAN總線，”ZDI解釋道。
通過一個包含要以其名義執(zhí)行的操作系統(tǒng)命令的文件的USB設(shè)備，可以利用這些漏洞。
“文件名必須以.up結(jié)尾，以便被軟件更新處理代碼識別。雖然所有三個命令注入漏洞都是通過文件名進行利用，但最容易利用的無疑是[CVE-2024-8359]，因為沒有特定的利用要求，例如構(gòu)造的更新文件的有效性，”ZDI表示。
此外，將USB大容量存儲設(shè)備連接到車輛可能會自動觸發(fā)軟件更新過程，從而促進命令注入漏洞的利用。
黑客可以安裝后門系統(tǒng)組件，以操控根文件系統(tǒng)以實現(xiàn)持久性，可以橫向移動并安裝精心制作的VIP微控制器軟件，以獲得“對車輛網(wǎng)絡(luò)的無限制訪問，可能影響車輛的操作和安全”。
ZDI表示，這種攻擊可以在實驗室環(huán)境中在幾分鐘內(nèi)完成，在現(xiàn)實場景中也不會花費太多時間，例如當(dāng)汽車“被代客停車時、在共享乘車時，或通過USB惡意軟件”，或在商店環(huán)境中。
“ZDI指出，CMU隨后可能會被攻破并‘增強’，例如，試圖在針對性攻擊中攻破任何連接的設(shè)備，這可能導(dǎo)致拒絕服務(wù)、設(shè)備磚化、勒索軟件、安全性妥協(xié)等問題。”
目前，數(shù)世咨詢暫未搜索到馬自達反饋，這些漏洞都沒有被供應(yīng)商修補。
