Para peneliti yang juga peretas web menemukan kerentanan terkait industri otomotif dari banyak perusahaan besar. Mereka menyadari bahwa hampir setiap mobil yang diproduksi dalam 5 tahun terakhir memiliki fungsi yang hampir sama.
Jika penyerang dapat menemukan kerentanan di titik akhir API yang digunakan sistem telematika kendaraan, mereka dapat membunyikan klakson, menyalakan lampu, melacak dari jarak jauh, mengunci/membuka kunci, dan memulai/menghentikan kendaraan, sepenuhnya dari jarak jauh.
Penulisan Kerentanan
1. Dalam beberapa bulan berikutnya, peneliti menemukan banyak kerentanan terkait mobil. Peneliti merangkum hasil eksplorasi keamanannya dalam sebuah blog. Berikut adalah rangkuman hasil penelitian keamanan sistem telematika, API otomotif, dan infrastruktur yang mendukungnya.
2. Pengambilalihan Akun Penuh pada BMW dan Rolls Royce melalui SSO yang Salah Konfigurasi
3. Eksekusi Kode Jarak Jauh dan Akses ke Ratusan Alat Internal di Mercedes-Benz dan Rolls Royce melalui SSO yang Salah Konfigurasi
4. Pengambilalihan Kendaraan Penuh pada Kia melalui Portal Dealer yang Tidak Berlaku Lagi
5. Pengambilalihan Akun Penuh pada Ferrari dan Pembuatan Akun Sewenang-wenang memungkinkan Penyerang untuk Mengakses, Mengubah, dan Menghapus Semua Informasi Pelanggan dan 6. Mengakses Fungsi CMS Administratif untuk Mengelola Situs Web Ferrari
6. Injeksi SQL dan Bypass Otorisasi Regex pada Sistem Spireon memungkinkan Penyerang untuk Mengakses, Melacak, dan Mengirim Perintah Sewenang-wenang ke 15 juta sistem Telematika dan Selain itu, Sistem Manajemen Armada Pengambilalihan Sepenuhnya untuk Departemen Kepolisian, Layanan Ambulans, Pengemudi Truk, dan Banyak Sistem Armada Bisnis
7. Akses Kendaraan Jarak Jauh Penuh dan Pengambilalihan Akun Penuh yang mempengaruhi Hyundai dan Genesis.
8. Akses Kendaraan Jarak Jauh Penuh dan Pengambilalihan Akun Penuh yang memengaruhi Honda, Nissan, Infiniti, Acura.
9. Pengambilalihan Kendaraan Penuh atas Nissan melalui Penugasan Massal.
Selain dalam blognya, para peneliti juga membagi hasil kerentanan melalui sebuah thread pada akun twitter @ssamwcyo dan @_specters_ .
Selengkapnya: Sam Curry
