Berichten zufolge wurde ein Codefehler behoben, der es Kriminellen ermöglichte, Autos über das Internet zu stehlen, und die Eigentümer aufgefordert, ihre Systeme sofort zu aktualisieren.
Der Fehler wurde in Connected Vehicle Services gefunden, einer Software-Suite, die eine Reihe von Funktionen wie automatische Unfallbenachrichtigungen, erweiterte Pannenhilfe, Fernentriegelung von Türen, Fernstart, Unterstützung bei der Wiederbeschaffung gestohlener Fahrzeuge, Turn-by-Turn-Navigation und Integration mit Smart Home bietet Geräte.
Connected Vehicle Services wird von SiriusXM entwickelt und von einer großen Anzahl von Autoherstellern verwendet, darunter Honda, Nissan, Infiniti und Acura, die alle anfällig waren.
Fahrgestellnummer für die Autorisierung
Der Fehler wurde von Yuga Labs-Sicherheitsforscher Sam Curry veröffentlicht, der in der Vergangenheit Sicherheitslücken in Autos gefunden hat. Im ein Twitter-Thread (öffnet in neuem Tab)erklärte Curry, wie der Fehler funktioniert, und fügte hinzu, dass SiriusXM ihn bereits behoben habe.
Anscheinend rührte das Problem daher, dass die Telematikplattform die Fahrzeugidentifikationsnummer (VIN) des Autos verwendet, die häufig auf der Windschutzscheibe zu finden ist, um Befehle zu autorisieren und Benutzerprofile abzurufen.
Wer die VIN-Nummer kennt, kann also aus der Ferne eine Reihe von Befehlen erteilen, vom Entriegeln der Türen bis zum Starten des Motors.
Als Reaktion auf die Erkenntnisse in Das Registersagte der Sprecher des Unternehmens, dass SiriusXM über sein Kopfgeldjagdprogramm darauf hingewiesen wurde
„Wir nehmen die Sicherheit der Konten unserer Kunden ernst und nehmen an einem Bug-Bounty-Programm teil, um potenzielle Sicherheitslücken zu identifizieren und zu beheben, die sich auf unsere Plattformen auswirken“, heißt es in der Erklärung.
„Als Teil dieser Arbeit reichte ein Sicherheitsforscher einen Bericht an Sirius XMs Connected Vehicle Services über einen Autorisierungsfehler ein, der sich auf ein bestimmtes Telematikprogramm auswirkte. Das Problem wurde innerhalb von 24 Stunden nach Übermittlung des Berichts behoben. Zu keinem Zeitpunkt wurden mit dieser Methode Abonnenten- oder andere Daten kompromittiert oder ein nicht autorisiertes Konto modifiziert.”
Über: Das Register (öffnet in neuem Tab)