У Bluetooth-стеку BlueSDK, який використовують у мультимедійних-системах популярних автомобілів, виявили низку критичних вразливостей. Потенційно зловмисники можуть прослуховувати розмови, отримувати доступ до контактів і геолокації. Під загрозою власники автівок Mercedes, Volkswagen, Skoda та, ймовірно, інших брендів.
За даними BleepingComputer, дослідники з PCA Cyber Security виявили чотири вразливості у Bluetooth-стеку BlueSDK, які отримали ідентифікатори CVE-2024-45434, CVE-2024-45431, CVE-2024-45433 і CVE-2024-45432. Разом вони утворюють експлойт із назвою PerfektBlue, що дає змогу провести атаку віддаленого виконання коду (RCE).
У теорії зловмисник може через Bluetooth під’єднатися до мультимедійної системи автомобіля, якщо жертва погодиться на зʼєднання (або ж воно станеться автоматично). Після цього відкривається доступ до конфіденційної інформації з підʼєднаних пристроїв, а саме контактів, аудіо, GPS-даних тощо.
Дослідники попередили розробника стека (компанію OpenSynergy) ще в червні 2024 року. Патч вийшов у вересні, проте його мають впровадити автовиробники.
За даними PCA Cyber Security, наразі жоден виробник цього не зробив. Єдиним винятком стала компанія Volkswagen, яка почала внутрішнє розслідування й опублікувала перелік умов, за яких вразливість може бути використана:
- атакуючий має перебувати в радіусі 5–7 метрів від автомобіля;
- запалювання авто повинне бути ввімкнене;
- мультимедійна система має бути в режимі сполучення;
- користувач має вручну підтвердити підʼєднання пристрою.
Раніше повідомлялося, що користувачі Android ризикують потрапити на шахрайські сайти або несвідомо запускати команди в додатках через нововідкриту вразливість у системі сповіщень. Все має вигляд звичайного повідомлення з посиланням, але насправді відкривається зовсім інший URL або активується прихована дія.
