Четверг, 16 июля, 01:58
дома безопасность Ноль дней на веб-портале BMW, который позволил машине вмешаться

Ноль дней на веб-портале BMW, который позволил машине вмешаться

В веб-портале BMW ConnectedDrive есть две уязвимости, которые позволяют злоумышленнику вмешиваться в настройки автомобиля, связанные с его информационно-развлекательной системой.

ConnectedDrive это название встроенной автомобильной системы информационно-развлекательная БМВ. Система может использоваться как в автомобиле, так и через серию подключенных мобильных приложений, которые позволяют водителю управлять настройками автомобиля с помощью своих мобильных устройств. За исключением мобильные приложенияэтот сервис также существует для Интернета.

Ноль дней на веб-портале BMW, который позволил машине вмешаться

Бенджамин Кунц Мейри, исследователь безопасности для Лаборатории Уязвимости, опубликовал вчера уязвимости нулевого дня на портале ConnectedDrive, который BMW не смог отремонтировать за последние пять месяцев.

Тема #1: захват VIN-сессии

Первая проблема - это сеанс уязвимости, который позволяет пользователю получить доступ к VIN (идентификационному номеру транспортного средства) другого пользователя.

VIN - это идентификаторы автомобилей, связанных с учетной записью каждого пользователя. VIN-код используется для создания поддержка настроек ConnectedDrive автомобиля в соответствующей учетной записи. Изменение этих настроек на веб-портале также изменит их в автомобиле и в приложениях.

Мейри говорит, что его атака позволила ему обойти процесс проверки сеанса VIN и использовать другой VIN для получения доступа, а затем редактировать настройки автомобиля другого пользователя.

Некоторые параметры, доступные на портале ConnectedDrive, включают блокировку / разблокировку автомобиля, управление списками воспроизведения, доступ к учетным записям электронной почты, управление маршрутами, информацию о трафике в режиме реального времени и многое другое.

Проблема #2: XSS на портале ConnectedDrive

Второй вопрос - XSS (межсайтовый скриптинг) ошибка на странице сброса пароля портала.

Эта ошибка XSS может привести к регулярным осложнениям в результате таких веб-атак, как в сбор cookie в браузерепоследующие атаки CSRF, фишинговые атаки и многое другое.

Мейри утверждает, что проинформировал BMW об этих двух проблемах в феврале 2016. Поскольку BMW не смог вовремя ответить на сообщения об ошибках Mejri, следователь обнародовал свои выводы. Можно найти подробное описание тем и полное доказательство использования кода. здесь (первая тема) и здесь (второй предмет).

Почти год назад исследователь безопасности Сэми Камкар обнаружил, что автомобиль OwnStar инструментарий для взлома также сотрудничал с дистанционным сервисом BMW.

ОСТАВИТЬ ОТВЕТ

Пожалуйста, введите ваш комментарий!
Пожалуйста, введите ваше имя здесь

LIVE NEWS

Oracle исправляет 443 уязвимости в своем новом обновлении

Обновление Oracle Critical Patch Update (CPU), выпущенное ранее на этой неделе, включает в себя 443 новых исправления безопасности.

Airbnb: пожертвования хозяевам и реакция общественности

После того, как пандемия исчерпала доходы Airbnb по всему миру, компания попросила посетителей пожертвовать деньги ...

Университет делает искусственную кожу, чтобы помочь роботам "чувствовать"

Исследователи из Национального университета Сингапура (NUS) объявили в среду, что они проводят работу, направленную на то, чтобы дать роботам смысл ...

Кибератаки: их рост против СМИ впечатляет!

За два года в медиа-индустрии произошло около 17 миллиардов кибератак, что доказывает, насколько привлекательной является цель ...

Президент Каталонии призывает к расследованию в отношении Испании за шпионаж!

Президент регионального парламента Каталонии Роджер Торрент во вторник призвал правительство Испании провести официальное расследование шпионажа ....

Apple выиграла битву против ЕС за налогообложение Ирландии

Apple в среду выиграла судебную тяжбу против Еврокомиссии, и спор о выплате 13 миллиардов евро в ирландском ...

Ржавчина: токены API ящиков вызываются из-за серьезного недостатка безопасности

Проект, стоящий за популярным языком программирования Rust, отозвал все ключи API из веб-приложения пакета crates.io.

Gemini запускает аппаратные ключи безопасности в мобильном приложении

Gemini представила аппаратную функциональность ключа безопасности для мобильного приложения, предлагая клиентам совместимость с такими устройствами, как YubiKey для ...

Kobo Nia: выпущена замена электронного ридера Aura

Kobo предлагает новый электронный ридер Nia, который заменит версию Aura с очень маленькими обновлениями, которые многие ...

Распознавание лиц: судебные процессы против Amazon, Google и Microsoft

Amazon, Google Alphabet и Microsoft использовали фотографии людей без их разрешения для обучения технологиям распознавания лиц!