Los investigadores descubrieron una grave vulnerabilidad en el famoso sistema de alarma de automóviles de los vendedores que permite a los atacantes secuestrar el automóvil de forma remota y apagar el motor mientras conduce, incluso robar el automóvil
Estas alarmas disponibles en el mercado por $ 5,000, que ya estaban instaladas en varios autos de alta gama y las vulnerabilidades críticas se descubrieron en dos de los principales fabricantes de alarmas fabricados por Viper y Pandora .
Además, se ha retirado la recuperación de su sitio web como "no se puede tratar" y también se dijo que nunca se enfrentó a ninguna brecha de seguridad.
Los probadores de penetración descubrieron la utilidad crítica en directo referencias de objeto (edor) en el sistema de alarma Pandora API.
Esta vulnerabilidad permite manipular la cuenta de usuario, permitir que el atacante actualice la dirección de correo electrónico registrada en la cuenta sin autenticación, enviar un restablecimiento de contraseña a la dirección modificada para comprometer
Los investigadores dijeron que "otra vulnerabilidad de Viper de la alarma de Smart Start es un IDOR en la solicitud de 'modificación de usuario'. Aunque todas las demás API están comprobando correctamente la autorización, el / users / Update /xxxxx La solicitud no está siendo validada correctamente ".
Esta vulnerabilidad reside en el sistema API permite a los atacantes interactuar con el sistema de alarma emitir una solicitud maliciosa para cambiar la contraseña y el inicio de sesión de cualquier usuario.
De manera similar, la vulnerabilidad de Pandora es un IDOR en una solicitud POST: https://pro.p-on.ru/api/sputnik/workers?id=xxxx en el parámetro JSON de "correo electrónico".
Por lo tanto, una vez que se sobrescriba el correo electrónico, es posible que el atacante cambie la contraseña de usuario en el sistema de alarma del vehículo Pandora y simplemente inicie sesión en la aplicación y obtenga la funcionalidad completa.
Permite secuestrar el coche
Los investigadores demuestran el proceso de secuestro del automóvil una vez que se hacen cargo de las cuentas de gestión de alarmas vulnerables y, en la actualidad, esta falla afecta a hasta 3 millones de vehículos en todo el mundo.
Tomar el famoso auto Range Rover que se instaló con el sistema de alarma.
Los investigadores de PentestPartners dijeron que “rastrean el auto en tiempo real y el conductor ahora se detiene para investigar. Establecemos elinmovilizador, por lo que no pueden salir. Ya hemos eliminado su acceso a la cuenta de alarma, por lo que no pueden restablecer lainmovilizador. ”
En este caso, una vez que los atacantes encuentran el auto, pueden usar el desbloqueo futuro en la aplicación móvil para desbloquear la puerta del automóvil y contra el arranque del motor.
Los investigadores también descubrieron que los atacantes podrían matar el motor del automóvil equipado con Viper mientras estaba en movimiento.
"Los videos promocionales de Pandora indican que esto también es posible, aunque no parece estar funcionando en nuestro auto".
Además, el atacante puede obtener muchas funcionalidades en esta aplicación de alarma de automóvil y realizar las siguientes acciones:
- El coche para ser geolocalizado en tiempo real.
- El tipo de vehículo y los datos del propietario deben ser identificados.
- La alarma a deshabilitar.
- El coche que hay que desbloquear.
- El inmovilizador a habilitar y deshabilitar.
- En algunos casos, el motor del automóvil podría ser "apagado" mientras conducía
- Una marca de alarma permitió a los conductores ser "espiados" a través de un micrófono
- Dependiendo de la alarma, también puede ser posible robar vehículos.
“Estas alarmas son costosas y, por lo general, están instaladas en vehículos de alta gama, a menudo con entrada sin llave. Una estimación conservadora sugiere que se expusieron vehículos por valor de $ 150 mil millones ” . Los investigadores dijeron.
"Este grave defecto ya se ha informado a los proveedores preocupados y les dio 7 días para eliminar o corregir las API vulnerables"
Fecha actualización el 2021-03-12. Fecha publicación el 2019-03-12. Categoría: hackers Autor: Oscar olg Mapa del sitio Fuente: gbhackers