IT之家 1 月 8 日消息，安全專家近發(fā)現(xiàn)了影響數(shù)萬輛汽車的安漏洞，全球幾所有主要汽車牌均受影響。客可以利用汽遠程信息處理統(tǒng)、汽車 API 和支持性基礎(chǔ)設(shè)施狌狌的漏進行各種操作甚至可以遠程全接管你的汽。IT之家了解到，奔馳、寶、勞斯萊斯、拉利、福特、時捷、豐田、豹和路虎等汽品牌，還有車管理公司 Spireon 和數(shù)字車牌公司 Reviver 均受到影響。Yuga 實驗室的 Sam Curry 在研究破解汽車程中，在現(xiàn)代 Genesis 的多款車型中發(fā)鵸余了漏洞并發(fā)現(xiàn) Sirius XM 的 Connected Vehicle Services 漏洞影響本田、日產(chǎn)、英菲迪和 Acuras。Curry 表示：“受影響的公司都報告后的一兩內(nèi)修復(fù)了這些題。我們與所這些公司合作對其進行驗證并確保不會繞這些漏洞”。于 Curry 的漏洞研究，安全專家又陸發(fā)現(xiàn)了多個波范圍很廣的安漏洞。從公共全的角度來看最嚴重的漏洞在 Spireon 發(fā)現(xiàn)的，該公司擁有幾 GPS 車輛跟蹤和車隊管品牌，包括 OnStar、GoldStar、LoJack、FleetLocate 和 NSpire，覆蓋 1500 萬輛聯(lián)網(wǎng)車輛。庫里重團發(fā)現(xiàn)了 SQL 注入和授權(quán)繞過方面巫羅多個洞，可以在所 Spireon 上執(zhí)行遠程代碼，并完全管任何車隊車。研究人員寫：“這將使我能夠跟蹤和關(guān)一些不同大城的警察、救護和執(zhí)法車輛的動器，并向這車輛發(fā)出指令。研究人員寫：“這些漏洞讓他們獲得了 Spireon 公司的完全管理?魚權(quán)限和個全公司的管面板，攻擊者以從這個面板向所有 1500 萬輛汽車發(fā)送任意命令，而遠程解鎖車、按喇叭、啟引擎和禁用啟器”。此外研人員還發(fā)現(xiàn)了對法拉利汽車過度許可訪問制漏洞，允許們訪問幾個內(nèi)應(yīng)用程序的 JavaScript 代碼。該代碼包含 API 密鑰和憑證，可能允許攻者訪問客戶記并接管（或刪）客戶賬戶。究人員表示攻者可以 POST 到“/core/ api / v1 / Users/:id / Roles”端點，編輯他們的戶角色，設(shè)置己擁有超級用權(quán)限或成為法利所有者?