本文来自微信公众号“数世咨询”。
自2022年底以来，随着生成式人工智能的兴起，网络安全领域遭遇了前所未有的挑战。仅在2023年，勒索软件的支付金额就飙升至超过11亿美元。
多款马自达汽车型号的信息娱乐系统存在漏洞，可能允许黑客以根权限执行任意代码，趋势科技的零日漏洞计划（ZDI）警告称。
ZDI解释说，这些问题存在是因为马自达连接性主控单元（CMU）系统没有正确清理用户提供的输入，这可能允许在车附近的黑客通过连接一个特制的USB设备向系统发送命令。
CMU在改装社区中颇受欢迎，发布了软件调整以修改其操作，由维斯汀制造，运行最初由约翰逊控制公司开发的软件。
根据ZDI的说法，在软件版本74.00.324A中发现的缺陷可以结合使用，以“实现对信息娱乐系统的完全和持久的妥协”。早期的软件版本也可能受到影响。2014-2021年款的马自达3及其他车型受到影响。
第一个安全漏洞被标记为CVE-2024-8355，存在的原因是，当新苹果设备连接时，CMU从设备获取多个值，并在SQL语句中使用这些值而没有进行清理。
这使得黑客能够使用伪造的设备回复请求，发送特定命令，这些命令将在信息娱乐系统上以根权限执行，从而导致数据库操作、任意文件创建，甚至可能执行代码。
“ZDI表示：‘由于输入的明显长度限制为0x36字节，利用此漏洞的可能性有所限制，但这可以通过让多个伪造的iPod一个接一个地连接来规避，每个iPod都用自己的注入SQL语句替代序列号。’”
另外三个不当输入清理漏洞，分别被标记为CVE-2024-8359、CVE-2024-8360和CVE-2024-8358，影响支持更新过程的功能，可能允许黑客“注入任意操作系统命令，这些命令将由主机操作系统的shell执行”，从而导致系统完全被攻陷。
第五个漏洞，标记为CVE-2024-8357，存在于运行Linux的应用程序SoC中，因为未对操作系统启动步骤实施身份验证，允许攻击者操纵根文件系统、配置数据以及用于持久性、SSH密钥安装和代码执行的引导代码。
第六个漏洞CVE-2024-8356影响了主机的第二个系统，即运行未指定操作系统的MCU，该系统支持CMU功能，如CAN和LIN连接，并在CMU软件的字符串中被标识为VIP。
在软件更新过程中，VIP也会被更新，ZDI发现可以操纵特定字符串，一旦被更新脚本接受，将导致验证一个被修改的固件镜像，该镜像将被重新编程回VIP MCU。
“在更全球的意义上，这使得黑客能够通过安装一个精心制作的固件版本，从一个运行Linux的受损应用程序SoC转向VIP MCU，并随后直接访问车辆的连接CAN总线，”ZDI解释道。
通过一个包含要以其名义执行的操作系统命令的文件的USB设备，可以利用这些漏洞。
“文件名必须以.up结尾，以便被软件更新处理代码识别。虽然所有三个命令注入漏洞都是通过文件名进行利用，但最容易利用的无疑是[CVE-2024-8359]，因为没有特定的利用要求，例如构造的更新文件的有效性，”ZDI表示。
此外，将USB大容量存储设备连接到车辆可能会自动触发软件更新过程，从而促进命令注入漏洞的利用。
黑客可以安装后门系统组件，以操控根文件系统以实现持久性，可以横向移动并安装精心制作的VIP微控制器软件，以获得“对车辆网络的无限制访问，可能影响车辆的操作和安全”。
ZDI表示，这种攻击可以在实验室环境中在几分钟内完成，在现实场景中也不会花费太多时间，例如当汽车“被代客停车时、在共享乘车时，或通过USB恶意软件”，或在商店环境中。
“ZDI指出，CMU随后可能会被攻破并‘增强’，例如，试图在针对性攻击中攻破任何连接的设备，这可能导致拒绝服务、设备砖化、勒索软件、安全性妥协等问题。”
目前，数世咨询暂未搜索到马自达反馈，这些漏洞都没有被供应商修补。
