Elektromos autókat törtek a hackerek
A Pwn2Own hackerverseny kifejezetten autóipari megoldásokra kiélezett fordulójában többek között a Tesla egyes rendszerei is elestek.
A Trend Micro (Zero Day Initiative) évek óta sikeresen rendez úgynevezett Pwn2Own hackerversenyeket, amelyek során a résztvevők szabályozott keretek között mutathatnak be támadásokat, illetve világíthatnak rá biztonsági résekre napjainkban széles körben használt szoftverek, szolgáltatások és eszközök kapcsán. A szervezők tavaly úgy határoztak, hogy 2024-ben különös figyelmet fordítanak az okosautók világára, és ennek megfelelően a Japánban január 24-26. között megrendezett Automotive World rendezvény keretein belül megszervezték az idei első Pwn2Own versenyt.
A Pwn2Own Automotive 2024 elnevezésű megmérettetésen a versenyzők Tesla Model 3/Y és Tesla Model S/X gépkocsikban található rendszereket ostromolhattak. Emellett volt lehetőségük különféle töltők és töltőállomások hackelésére, valamint okosautókban használatos operációs rendszerek (Automotive Grade Linux, Android Automotive OS, BlackBerry QNX) térdre kényszerítésére is.
A résztvevők a két nap alatt komoly sikereket értek el, és összesen 48 biztonsági résre világítottak rá. Ezáltal összességében 1.101.500 dollár jutalommal a zsebükben térhettek haza. Egyebek mellett olyan támadásokat indítottak, amelyek révén sikeresen törték fel a Tesla Modemet, a Tesla infotainmentet, valamint az Ubiquiti Connect EV, a JuiceBox 40 Smart EV és a ChargePoint Home Flex EV töltőállomások biztonsági rendszereit. Emellett sikerült térdre kényszeríteniük a Pioneer DMH-WT7600NEX infotainment rendszert, valamint egy Phoenix Contact CHARX SEC-3100 EV töltőt is.
A versenyzőknek át kellett adniuk minden információt a szervezőknek beleértve a kifejlesztett exploitokat, valamint a feltárt biztonsági résekkel kapcsolatos technikai részleteket is. Most 90 napjuk van a meghackelt szoftverek és eszközök fejlesztőinek, hogy kijavítsák a sebezhetőségeket, mielőtt a ZDI csapata nyilvánosságra hozza a sérülékenységek leírását.
-
Az IBM Db2 egy újabb biztonsági javítással bővült.
-
A Docker fejlesztői egy több éve létező biztonsági rést foltoztak be.
-
A Trend Micro VPN Proxy One Pro egy biztonsági hiba miatt kapott frissítést.
-
Négy biztonsági hiba látott napvilágot az ISC BIND kapcsán.
-
Több mint egy tucat biztonsági javítással érkezett meg a legújabb Chrome verzió.
-
A Zyxel számos vezeték nélküli hozzáférési ponthoz adott ki biztonsági frissítést.
-
A Juniper több hibát javított a Junos OS-ben.
-
A Vtiger CRM két biztonsági hiba miatt kapott frissítést.
-
Az IBM WebSphere Application Serverhez egy biztonsági frissítés vált letölthetővé.
-
A SolarWinds kritikus sebezhetőségeket is orvosolt az ARM esetében.
A hibás CrowdStrike-frissítés okozta széleskörű informatikai leállások előtérbe helyezték a szoftverfrissítések kérdését. Frissítsünk vagy inkább ne?
Az ESET legújabb Threat Report jelentése átfogó képet ad az ESET szakértői csapata által 2023 decemberétől 2024 májusáig megfigyelt fenyegetettségi trendekről.
