Araştırmacılar, belirli Honda ve Acura otomobil modellerini etkileyen ve aracın yakınındaki bir saldırganın arabanızın kilidini açmasına ve hatta motorunu kısa bir mesafeden çalıştırmasına olanak tanıyan bir “replay attack” güvenlik açığını açıkladı. Saldırı, anahtarlığınızdan araca gönderilen RF sinyallerini yakalayan ve aracınızın uzaktan anahtarsız giriş sisteminin kontrolünü ele geçirmek için bu sinyalleri yeniden gönderen bir saldırı türü.
Kablosuz kilit açmadan anahtarsız motor çalıştırmaya
Bu hafta, birden fazla araştırmacı, aracın yakınındaki bir saldırgan tarafından bazı Honda ve Acura araba modellerinin kilidini açmak ve motorlarını kablosuz olarak çalıştırmak için kullanılabilecek bir güvenlik zafiyetini açıkladı. CVE-2022-27254 olarak izlenen güvenlik açığı, Ortadaki Adam (MitM) saldırısı veya daha spesifik olarak, bir saldırganın normalde uzaktan kumandalı bir anahtarlıktan araca gönderilen RF sinyallerini yakaladığı, manipüle ettiği bir tekrar saldırısıdır. Bu sinyallerdaha sonra arabanın kilidini açmak için kullanılıyor. Araştırmacılar tarafından paylaşılan bir video , şu anda hiçbir teknik ayrıntı veya kavram kanıtı (PoC) yararlanma kodu paylaşılmamış olsa da, kusurun uzaktan motor çalıştırdığı görülüyor.
Araştırmacılara göre, bu hatadan etkilenen araçlar öncelikle 2016-2020 Honda Civic (LX, EX, EX-L, Touring, Si, Type R) modelleri.
Bu otomobillerde de böyle bir zafiyet daha öncede bildirildi
2020’de aşağıdaki Honda ve Acura modellerini etkileyen benzer zafiyet (CVE-2019-20626) bildirmişti, ancak Honda’nın raporunu görmezden geldiğini ve “replay/replay and edit’ saldırısına karşı 0 güvenlik önlemi uygulamaya devam ettiğini iddia etti. “
- 2009 Acura TSX
- 2016 Honda Accord V6 Touring Sedan
- 2017 Honda HR-V (CVE-2019-20626)
- 2018 Honda Civic Hatchback
- 2020 Honda Civic LX
Araştırmacıların araç üreticilerine tavsiyesi, atlamalı kodlar olarak da bilinen “rolling codes”ı uygulamalarıdır. Bu güvenlik teknolojisi, her kimlik doğrulama isteği için yeni kodlar sağlar ve bu nedenle bu kodlar, daha sonra bir saldırgan tarafından ‘tekrar kullanılamaz’.
Ocak 2022’de araştırmacı Kevin2600 , CVE-2021-46145 olarak izlenen benzer bir güvenlik açığını da açıklamıştı , ancak belirli anahtarsız sistemin rolling codes kullandığını ve bu nedenle saldırıların çok daha az etkili hale getirdiğinden bahsetmişti:
Honda’nın eski modelleri güncelleme planı yok
Honda, birden fazla otomobil üreticisinin uzaktan kilitleme-kilit açma işlevini uygulamak için eski teknolojiyi kullandığını ve bu nedenle “kararlı ve teknolojik olarak çok karmaşık hırsızlara” karşı savunmasız olabileceğini söyledi. Honda, “Şu anda, cihazların yalnızca hedef araca yakın mesafede veya fiziksel olarak bağlıyken çalıştığı görülüyor ve araç açılıp çalıştırıldığında araç sahibinin anahtarlığından yerel radyo sinyallerinin alınmasını gerektiriyor yeni modeller piyasaya çıktıkça güvenlik özelliklerini düzenli olarak iyileştirirken, kararlı ve teknolojik olarak sofistike hırsızlar da bu özelliklerin üstesinden gelmek için çalışıyor” diyor.
Araştırmacılar, “Bu saldırının kurbanı olduğunuza inanıyorsanız, anahtarlığınızı bayide sıfırlatmanız gerekiyor” diyerek uyarılarda bulunuyor.
Kaynak: bleepingcomputer.com