针对特斯拉Model 3触摸屏的DoS攻击

iso60001  5天前

22.png

近期,网名为Nullze的安全研究人员发现,只要诱骗目标用户访问一个精心设计的网站,就可能导致特斯拉Model 3的中央触摸屏无法使用,形成DoS攻击。在获悉这一缺陷后,特斯拉迅速发布了软件更新,修补了这一漏洞。

该漏洞被标记为CVE-2020-10558,其根本原因是是“进程分离不当”,攻击者可通过它使中央显示屏幕变得无响应。

Nullze在一篇博客文章中表示:“这个漏洞可导致主屏幕上的速度显示、网页浏览器、气温控制、转向信号、导航、自动驾驶通知、闪烁通知以及其他汽车功能无法使用。”

33.png

为了利用这个漏洞,攻击者需要诱骗用户访问一个特别设计的网页。而它将会使基于chrome的浏览器界面崩溃,进而使整个特斯拉Model 3的交互界面崩溃。

不过研究人员也指出,虽然该漏洞会导致中央显示屏崩溃,但汽车仍然可以正常行驶。一旦汽车熄火并再次启动,中央显示屏仍然可以正常工作。

这一漏洞是通过Bugcrowd上电动汽车制造商的漏洞奖励计划报告给特斯拉的。研究人员将因此获得了一笔数目不公开的奖励。

特斯拉长期为漏洞提供100美元到1.5万美元之间的奖励。去年,该公司向一名发现了一个存储型XSS漏洞的研究人员奖励了1万美元,该漏洞可被用来获取车辆敏感信息。

该公司在2月中旬发布了2020.4.10版本,修补了Nullze报告的漏洞。该软件更新会自动推送到特斯拉汽车上,用户也可以手动立即安装(如果某段时间不开车的话)。

尚未安装安全更新的特斯拉车主可以使用Nullze提供的PoC来测试该漏洞。该研究人员还发布了几段视频,展示了这一漏洞的攻击过程,并表示这是受Fluoroacetate团队所发现的浏览器中的JIT漏洞所启发。

https://youtu.be/K4KNlXMJ2CQ

44.png

https://youtu.be/UkhwRUaSCA4

55.png

Nullze表示,他是在看到Amat Cama和Richard Zhu在2019年Pwn2Own竞赛中攻陷了特斯拉汽车的网络浏览器后,才开始关注特斯拉汽车的安全性。

本文由白帽汇整理并翻译,不代表白帽汇任何观点和立场
来源:https://www.securityweek.com/vulnerability-exposed-tesla-central-touchscreen-dos-attacks

最新评论

昵称
邮箱
提交评论

友情链接:FOFA FOEYE BCSEC BAIMAOHUI 安全客 i春秋 指尖安全

nosec.org All Rights Reserved 京ICP备15042518号