安全研究人员在一些斯柯达汽车使用的信息娱乐装置中发现了多个漏洞，这些漏洞可能允许恶意行为者远程触发某些控制并实时跟踪汽车的位置。专攻汽车领域的网络安全公司PCAutomotive本周在欧洲黑帽大会上公布了影响斯柯达Superb III轿车最新型号的12个新安全漏洞。 此前一年，该组织公布了影响同一车型的另外 9 个漏洞。斯柯达是德国汽车巨头大众汽车旗下的一个汽车品牌。
PCAutomotive 安全评估主管 Danila Parnishchev 表示，黑客可以将这些漏洞串联起来并加以利用，将恶意软件注入汽车。攻击者需要通过蓝牙与斯柯达Superb III的媒体装置连接才能利用这些漏洞，但他指出："攻击可以在10米范围内进行，且无需验证。"
这些漏洞是在汽车的 MIB3 信息娱乐单元中发现的，攻击者可以不受限制地执行代码，并在单元每次启动时运行恶意代码。 据 PCAutomotive 报道，这可能会让攻击者获取实时车辆 GPS 坐标和速度数据，通过车载麦克风记录对话，截图信息娱乐显示屏，并在车内播放任意声音。
PCAutomotive在一辆Superb III上验证了这些缺陷，如果车主启用了与汽车的联系人同步功能，攻击者也有可能窃取车主的手机联系人数据库。
Parnishchev 说："通常情况下，手机都是加密的，因此无法轻易提取联系人数据库，信息娱乐装置的联系人数据库通常是以明文存储的。"
帕尔尼什切夫指出，他们没有找到绕过车载网络网关限制访问方向盘、刹车和油门等对安全至关重要的汽车控制装置的方法。
PCAutomotive在周四发布的研究报告之前分享了该报告，报告指出，大众和斯柯达的多款车型都使用了易受攻击的MIB3单元，根据公开的销售数据，估计易受攻击的车辆可能超过140万辆；
如果考虑到售后零部件市场，易受攻击车辆的数量可能要高得多。"如果你在 eBay 上搜索一个零件编号，你就会找到它。 "他解释说："如果前任用户没有删除，那么他们的联系人数据库也会存在。"
大众汽车在通过公司的网络安全披露计划报告了这些漏洞后，对其进行了修补；
斯柯达发言人汤姆-德雷克斯勒（Tom Drechsler）在电子邮件声明中说："信息娱乐系统中报告的漏洞已经并正在通过对产品生命周期的持续改进管理加以解决和消除。 客户或车辆的安全从未受到任何威胁。"
热门跟贴