黑客可通過寶馬門戶網站漏洞篡改BMW車輛的設置

2016-09-18 10:46 來源: 連網

分享到：

【連網】 ConnectedDrive是寶馬車載信息娛樂系統的名稱。該系統可以在車內使用，或可以通過一系列連接的移動應用程序讓司機通過移動設備管理車輛設置。除了移動應用程序，該服務還有網頁版。

Vulnerability Lab的安全研究人員Benjamin Kunz Mejri昨日公布ConnectedDrive門戶存在的兩個零日漏洞，寶馬過去5個月未對這兩大漏洞進行修復。漏洞#1：VIN會話劫持會話漏洞允許用戶訪問另一用戶的VIN—車輛識別代碼。VIN是每個用戶帳號的車輛ID。VIN碼備份車輛ConnectedDrive設置到用戶的帳號。在門戶網站更改這些設備將更改車載設置以及附帶應用程序。

QQ截圖20160918104525

Mejri表示，他可以繞過VIN會話驗證并使用另一VIN訪問并修改另一用戶的車輛設置。

ConnectedDrive門戶的設置包括鎖定/解鎖車輛，管理歌曲播放列表、訪問電子郵件賬號、管理路由、獲取實時交通信息等。漏洞#2: ConnectedDrive門后的XSS第二個漏洞就是門戶密碼重置頁面存在XSS（跨站腳本）漏洞。

這個XSS漏洞可能帶來網絡攻擊，比如瀏覽器cookie獲取、后續跨站請求偽造（Cross-site request forgery，縮寫CSRF）、釣魚攻擊等。

Mejri聲稱，他2016年2月向BMW報告了兩大漏洞。由于寶馬沒有及時回應Mejri的漏洞報告，于是Mejri將漏洞公開。差不多一年前，安全研究員Samy Kamkar揭露，OwnStar汽車黑客工具包攻擊過寶馬遠程服務。

国产一区二区精品久久_久久激情视频久久_日韩欧美一二区_久久国产日本精品

黑客可通過寶馬門戶網站漏洞篡改BMW車輛的設置

相關新聞