Уязвимость в мультимедийной системе Honda Civic позволяет устанавливать вредоносное ПО через USB

Специалист по разработке программного обеспечения Эрик Макдональд обнаружил критическую уязвимость в мультимедийной системе автомобиля Honda Civic 2021 года. Проблема заключается в отсутствии должной защиты при обновлении ПО через USB-порт: система принимает файлы, подписанные публичными тестовыми ключами Android Open Source Project (AOSP). Это позволяет злоумышленникам устанавливать неавторизованные приложения, включая вредоносное ПО.

Эксперт описал сценарий атаки, получивший название «EvilValet». Например, если владелец автомобиля передаёт его на парковку или в сервис, злоумышленник может воспользоваться временным доступом для установки шпионского ПО. Вредоносное приложение способно собирать данные с датчиков автомобиля, включая запись разговоров, отслеживание местоположения и даже видеозапись. Собранная информация может передаваться через Bluetooth, Wi-Fi или мобильную сеть.

Хотя уязвимость не затрагивает критические системы безопасности автомобиля, она представляет серьёзную угрозу для конфиденциальности. Макдональд отметил, что подобные проблемы характерны для автомобильной отрасли: производители часто пренебрегают базовыми мерами безопасности, несмотря на растущую цифровизацию транспортных средств. В качестве примера приводится случай с Volkswagen, который отказался устранять уязвимость в моделях Audi и VW из-за отсутствия возможности обновлений по воздуху (OTA).

Для владельцев Honda Civic 2021 года Макдональд разработал инструменты для «джейлбрейка» мультимедийной системы, доступные на GitHub. Однако он предупреждает, что неосторожные действия могут привести к выходу системы из строя, что потребует её полной замены.