Vulnerabilità critica nel portale dei concessionari Kia che potrebbe permettere agli attaccanti di accedere e controllare milioni di veicoli.
Il 26 settembre 2024, un gruppo di ricercatori di sicurezza ha scoperto delle vulnerabilità critiche nel portale dei concessionari Kia che potrebbero permettere agli attaccanti di accedere e controllare milioni di veicoli prodotti dopo il 2013. Queste vulnerabilità, rivelate da Sam Curry, un ricercatore di sicurezza e cacciatore di bug, potrebbero essere sfruttate per controllare qualsiasi veicolo Kia equipaggiato con hardware remoto in meno di 30 secondi, indipendentemente dalla presenza di una sottoscrizione attiva di Kia Connect.
Flaw nel Portale dei Concessionari Kia
I ricercatori hanno registrato un account di concessionario sul portale kiaconnect.kdealer.com per guadagnare accesso a questa informazione. Una volta autenticati, hanno generato un token di accesso valido che ha dato loro accesso alle API dei concessionari backend, fornendo dettagli critici sul proprietario del veicolo e pieno accesso ai comandi remoti del veicolo.
Rischi per la Sicurezza
Le vulnerabilità nel portale dei concessionari Kia espongono i proprietari dei veicoli a rischi significativi. Gli attaccanti potrebbero utilizzare l’API dei concessionari backend per:
- Generare un token di concessionario e recuperarlo dalla risposta HTTP.
- Accedere all’indirizzo email e al numero di telefono del proprietario.
- Modificare le autorizzazioni dell’accesso del proprietario utilizzando informazioni divulgate.
- Aggiungere un indirizzo email controllato dall’attaccante al veicolo, permettendo comandi remoti senza il consenso del proprietario.
Esempio di Attacco
I ricercatori hanno costruito uno strumento per dimostrare come un attaccante potrebbe inserire il numero di targa di un veicolo e, in meno di 30 secondi, bloccare o sbloccare il veicolo, avviarlo o fermarlo, o suonare il clacson. Questo strumento dimostra come gli attaccanti potrebbero accedere ai comandi remoti dei veicoli senza che i proprietari ne siano a conoscenza.
Risoluzione delle Vulnerabilità
Le vulnerabilità sono state risolte e lo strumento non è stato rilasciato. Il team Kia ha confermato che queste vulnerabilità non sono state sfruttate malizieamente.
