Un grupo de investigadores de seguridad de la Universidad de Birmingham, EE. UU., Ha descubierto vulnerabilidades en la API de 16 grandes marcas de vehículos que permiten a los atacantes remotos acceder a los sistemas de seguridad, control de motores y otros sistemas críticos sin autenticación. Las marcas afectadas incluyen BMW, Fiat Chrysler, Ford, General Motors, Honda, Hyundai, Jaguar Land Rover, Mazda, Mitsubishi, Nissan, Porsche, Subaru, Toyota, Volkswagen y Volvo.
Esta vulnerabilidad podría afectar a millones de vehículos en todo el mundo. Los investigadores descubrieron que los atacantes remotos podrían acceder y manipular los sistemas de control de vehículos mediante una API insegura, denominada un «protocolo de comunicación de vehículos».
Esta API permite a los fabricantes de automóviles comunicarse entre sí para compartir datos entre sistemas, como el control del motor, el sistema de frenos y el sistema de seguridad. Se utiliza para mejorar la seguridad de los vehículos, pero también para permitir que los fabricantes implementen características de seguridad adicionales que no se pueden implementar con código nativo.
Sin embargo, los investigadores descubrieron que los fabricantes utilizan una API con una mala implementación de seguridad, lo que significa que los atacantes remotos pueden acceder a los sistemas y manipularlos sin autenticación. Esto significa que los atacantes remotos podrían, por ejemplo, desactivar los sistemas de frenos, controlar el motor y manipular los sistemas de seguridad. Esto podría ser particularmente peligroso si se usan para robar vehículos, ya que los sistemas de seguridad se desactivarían automáticamente.
La API vulnerable también afecta a los sistemas de telecomunicaciones de los vehículos. Esto significa que los atacantes remotos pueden acceder a los sistemas de navegación, audio, conectividad Bluetooth y otros sistemas de telecomunicaciones. Esto también significa que los atacantes remotos podrían bloquear a los usuarios, alterar la información de la pantalla, limpiar los datos del sistema y, en algunos casos, incluso tomar control de los vehículos.
Los investigadores han notificado a todos los fabricantes afectados de los problemas de seguridad encontrados. Sin embargo, los fabricantes aún no han publicado parches para solucionar los problemas. Esto significa que los propietarios de los vehículos afectados deben tomar medidas de precaución adicionales para protegerse de los ataques.
Estas medidas incluyen deshabilitar la conectividad inalámbrica a menos que sea absolutamente necesaria, no usar ninguna aplicación de terceros en el vehículo y asegurarse de que los sistemas de seguridad del vehículo estén siempre actualizados. En resumen, un grupo de investigadores de seguridad de la Universidad de Birmingham, EE. UU., Ha descubierto vulnerabilidades en la API de 16 grandes marcas de vehículos que permiten a los atacantes remotos acceder a los sistemas de seguridad, control de motores y otros sistemas críticos sin autenticación. Esto podría afectar a millones de vehículos en todo el mundo.
Los atacantes remotos pueden acceder y manipular los sistemas de control de vehículos mediante una API insegura, así como acceder a los sistemas de telecomunicaciones. Los investigadores han notificado a los fabricantes afectados, pero aún no han publicado parches para solucionar los problemas. Por lo tanto, los propietarios de los vehículos afectados deben tomar medidas de precaución adicionales para protegerse de los ataques.
Fuente: