В программном обеспечении Subaru обнаружили уязвимости

Исследователи в области кибербезопасности Сэм Карри и Шубхам Шах обнаружили в информационно-развлекательной системе Subaru Starlink уязвимости, которые позволяют частично перехватывать управление автомобилем и следить за его передвижениями. Об этом сообщает Wired.

Экспертам удалось произвести взлом системы Subaru на машине, принадлежащей матери Карри, через веб-портал производителя. В результате они получили возможность открыть автомобиль, подать звуковой сигнал, запустить двигатель и даже переназначить эти функции любому телефону или ПК. Кроме того они обнаружили, что могут отслеживать местоположение Subaru и не только, где он находится на данный момент, но и историю его передвижений за год. Так, Карри увидел все поездки своей матери к врачу, к друзьям и даже парковочное место, где она оставляет машину, когда приезжает в церковь. Данная уязвимость оказалась актуальна для систем Subaru Starlink в США, Канаде и Японии.

Однако на этом Карри и Шах решили не останавливаться и, установив доменное имя ресурса, через которое осуществляется удаленное управление функциями автомобиля, смогли получить административные привилегии. Они нашли на LinkedIn адрес электронной почты разработчика Subaru Starlink и сбросили пароль. Для этого система запросила у них ответ на два контрольных вопроса, однако их проверка осуществлялась локальным скриптом в браузере пользователя, а не на сервере автопроизводителя, поэтому обойти ее оказалось не сложно. В результате они получили доступ к поиску любого владельца автомобиля Subaru по фамилии, почтовому индексу, почте, номеру телефона или номерному знаку. Найдя нужную машину, у них также появлялась возможность управления им.

Об обнаруженных уязвимостях Карри и Шах сообщили компании Subaru и автопроизводитель оперативно принял меры по их исправлению. Таким образом проблема безопасности была устранено, но момент с конфиденциальностью остался, поскольку у сотрудников по-прежнему остается возможность управления и слежки за автомобилями.