Ανακαλύφθηκε ευπάθεια zero-day που απειλεί την ασφάλεια του παγκόσμιου συστήματος συνδεδεμένων αυτοκινήτων

(NLDO) - Η Kaspersky ανακοίνωσε την ανακάλυψη ενός σοβαρού ευάλωτου σημείου ασφαλείας που θα μπορούσε να επιτρέψει σε χάκερ να πάρουν τον έλεγχο από απόσταση όλων των αυτοκινήτων που ανήκουν σε έναν κατασκευαστή.

Αυτή η ανακοίνωση έγινε μόλις στο συνέδριο Security Analyst Summit 2025, δηλαδή, μια ευπάθεια zero-day στην δημόσια εφαρμογή του συνεργαζόμενου εργολάβου, ανοίγοντας τον δρόμο για μη εξουσιοδοτημένη πρόσβαση στο σύστημα τηλεματικής - τον εγκέφαλο που ελέγχει και συλλέγει δεδομένα από το αυτοκίνητο. Σε ένα πραγματικό σενάριο επίθεσης, οι κακοί μπορούν να αναγκάσουν το αυτοκίνητο να αλλάξει ταχύτητα, να σβήσει τον κινητήρα ενώ κινείται, απειλώντας άμεσα την ασφάλεια του οδηγού και των επιβατών.

Η Kaspersky ανακαλύπτει σοβαρό κενό ασφαλείας που απειλεί την ασφάλεια των οχημάτων

Σύμφωνα με την Kaspersky, η αξιολόγηση ασφάλειας διεξήχθη εξ αποστάσεως, εστιάζοντας στις δημόσιες υπηρεσίες του κατασκευαστή και του εργολάβου. Οι ειδικοί ανακάλυψαν αρκετές θύρες πρόσβασης εκτεθειμένες στο Διαδίκτυο και μια ευπάθεια SQL injection στην εφαρμογή wiki, η οποία τους επέτρεψε να εξαγάγουν δεδομένα χρηστών και κρυπτογραφημένους κωδικούς πρόσβασης. Μέρος αυτών των κωδικών πρόσβασης αποκρυπτογραφήθηκε, αποκτώντας έτσι πρόσβαση στο σύστημα παρακολούθησης συμβάντων που περιέχει ευαίσθητες πληροφορίες διαμόρφωσης της τηλεματικής υποδομής, συμπεριλαμβανομένου ενός αρχείου που περιέχει κατακερματισμένους κωδικούς πρόσβασης χρηστών διακομιστή.

Από την πλευρά του συνδεδεμένου συστήματος αυτοκινήτου, η ομάδα ανακάλυψε ένα λανθασμένα διαμορφωμένο τείχος προστασίας, εκθέτοντας εσωτερικούς διακομιστές.

Χρησιμοποιώντας τα διαπιστευτήρια που έλαβαν, είχαν πρόσβαση στο σύστημα αρχείων και ήταν ακόμη σε θέση να στείλουν τροποποιημένες εντολές ενημέρωσης υλικολογισμικού στον ελεγκτή τηλεματικής (TCU).

Αυτή η ενέργεια επιτρέπει την πρόσβαση στο τοπικό δίκτυο (CAN) – το οποίο συντονίζει τον κινητήρα, το κιβώτιο ταχυτήτων και τους αισθητήρες, πράγμα που σημαίνει ότι μπορούν να ελεγχθούν πολλές σημαντικές λειτουργίες του οχήματος.

«Αυτά τα τρωτά σημεία πηγάζουν από συνηθισμένα λάθη, όπως η διατήρηση αδύναμων κωδικών πρόσβασης, η έλλειψη ελέγχου ταυτότητας δύο παραγόντων και η μη κρυπτογράφηση ευαίσθητων δεδομένων. Ακόμα και ένας αδύναμος κρίκος στην αλυσίδα εφοδιασμού μπορεί να θέσει σε κίνδυνο ολόκληρο το σύστημα των έξυπνων αυτοκινήτων», δήλωσε ο Artem Zinenko, Επικεφαλής Έρευνας και Αξιολόγησης Ασφάλειας ICS CERT στην Kaspersky.

Η Kaspersky καλεί τις αυτοκινητοβιομηχανίες να ενισχύσουν τους ελέγχους κυβερνοασφάλειας, ειδικά με την υποδομή τρίτων συνεργατών, για να διασφαλίσουν την ασφάλεια των χρηστών και να διατηρήσουν την εμπιστοσύνη στην τεχνολογία συνδεδεμένων αυτοκινήτων.

Συστάσεις της Kaspersky προς εργολάβους και τεχνολογικούς συνεργάτες στον τομέα της αυτοκινητοβιομηχανίας:

• Περιορισμός της πρόσβασης στο Διαδίκτυο σε υπηρεσίες ιστού μέσω VPN, απομονώνοντας τις υπηρεσίες από το εταιρικό intranet
• Ξεχωριστές υπηρεσίες ιστού, ώστε να μην σχετίζονται με το εταιρικό intranet
• Εφαρμόστε μια αυστηρή πολιτική κωδικών πρόσβασης
• Ενεργοποίηση ελέγχου ταυτότητας δύο παραγόντων (2FA)
• Κρυπτογράφηση ευαίσθητων δεδομένων
• Ενσωματώστε το σύστημα καταγραφής με την πλατφόρμα SIEM για την παρακολούθηση και τον εντοπισμό συμβάντων σε πραγματικό χρόνο. (Το SIEM - Security Information and Event Management είναι ένα σύστημα διαχείρισης πληροφοριών και συμβάντων ασφαλείας που βοηθά στην έγκαιρη ανίχνευση μη φυσιολογικής συμπεριφοράς ή κυβερνοεπιθέσεων)

Για τους κατασκευαστές αυτοκινήτων, η Kaspersky συνιστά τον περιορισμό της πρόσβασης στην πλατφόρμα τηλεματικής (σύστημα που συλλέγει και επεξεργάζεται δεδομένα οχήματος) από το δίκτυο του οχήματος, επιτρέποντας μόνο συνδέσεις δικτύου που βρίσκονται στη λίστα επιτρεπόμενων, απενεργοποιώντας τη σύνδεση με κωδικό πρόσβασης SSH, λειτουργώντας υπηρεσίες με τα ελάχιστα απαραίτητα δικαιώματα, διασφαλίζοντας την αυθεντικότητα των εντολών ελέγχου που αποστέλλονται στην TCU (μονάδα τηλεματικής ελέγχου στο όχημα) και ενσωματώνοντας μια πλατφόρμα SIEM.

Πηγή: https://nld.com.vn/phat-hien-lo-hong-zero-day-de-doa-an-toan-he-thong-o-to-ket-noi-toan-cau-196251113092524751.htm