BMW, Mercedes, Toyota usam APIs vulneráveis ​

O pesquisador de segurança cibernética Sam Curry e seus colegas descobriram muitas vulnerabilidades nos veículos fabricados por dezenas de montadoras e serviços implementados por fornecedores de soluções para veículos.

As vulnerabilidades podem ter sido exploradas por agentes de ameaças para realizar uma ampla gama de atividades maliciosas, desde desbloquear carros até rastreá-los.

As falhas descobertas pelos especialistas afetaram veículos de marcas populares, incluindo Kia, Honda, Infiniti, Nissan, Acura, Mercedes-Benz, Genesis, BMW, Rolls Royce, Ferrari, Ford, Porsche, Toyota, Jaguar, Land Rover. A equipe de pesquisa também descobriu falhas nos serviços prestados pelo Reviver, SiriusXM e Spireon.

A exploração de algumas falhas deu aos especialistas acesso a centenas de aplicativos internos de missão crítica da Mercedes por meio de SSO configurado incorretamente. Um invasor também pode explorá-los para obter a execução remota de código em vários sistemas. As falhas também permitiram que invasores acessassem o conteúdo da memória de alguns sistemas, levando à exposição de PII de funcionários/clientes da Mercedes.

No caso da BMW e da Rolls Royce, os especialistas encontraram vulnerabilidades SSO que lhes permitiram acessar qualquer aplicativo de funcionário como qualquer funcionário. Os especialistas puderam acessar os portais internos das concessionárias e recuperar os documentos de vendas da BMW fornecendo os números VIN.

Os especialistas também conseguiram acessar qualquer aplicativo bloqueado por SSO em nome de qualquer funcionário, incluindo aplicativos usados ​​por funcionários remotos e concessionárias.

“Ao testar os ativos da BMW, identificamos um portal SSO personalizado para funcionários e contratados da BMW. Isso foi muito interessante para nós, pois quaisquer vulnerabilidades identificadas aqui podem permitir que um invasor comprometa qualquer conta conectada a todos os ativos da BMW. Por exemplo, se um revendedor quiser acessar o portal do revendedor em uma concessionária física da BMW, ele terá que se autenticar por meio desse portal. Além disso, este portal SSO foi usado para acessar ferramentas internas e infraestrutura devops relacionada.” lê a análise publicada por Curry. “Para demonstrar o impacto da vulnerabilidade, simplesmente pesquisamos no Google o “portal do revendedor BMW” e usamos nossa conta para acessar o portal do revendedor usado pelos associados de vendas que trabalham nas concessionárias físicas da BMW e Rolls Royce.”

Os especialistas também conseguiram obter uma aquisição total do veículo na Kia por meio do portal do revendedor obsoleto

Algumas das vulnerabilidades descobertas pelos especialistas permitiram que os pesquisadores recuperassem informações do proprietário, incluindo o endereço físico, em outros casos as falhas permitiram o rastreamento de veículos.

“Capacidade de enviar a localização do veículo, enviar comandos do veículo e recuperar informações do cliente por meio de vulnerabilidades que afetam o serviço de telemática do veículo”, diz a análise relacionada aos problemas que afetam a Porsche.

Os especialistas também demonstraram como explorar algumas falhas para acessar o serviço de placas Reviver e atualizar qualquer status do veículo para “ROUBADO” que atualiza a placa e informa as autoridades.

A boa notícia é que todas as falhas apontadas pelos especialistas foram corrigidas pelas montadoras e prestadoras de serviços.