思科的安全專家發現了ARMv7的GNU libc中的一個內存損壞漏洞，它使攻擊者可以利用Linux ARMv7系統實現遠程控制智能汽車的目的。研究人員將漏洞標識爲TALOS-2020-1019 / CVE-2020-6096。
思科的客戶體驗評估與滲透團隊（Cisco's Customer Experience Assessment & Penetration Team，CX APT）在上週發佈的博客帖子中披露，暴露的已連接車輛上的安全威脅和網絡攻擊可能包括軟件漏洞，基於硬件的攻擊，甚至可能會遠程控制車輛。
研究人員將漏洞標識爲TALOS-2020-1019 / CVE-2020-6096，並補充說漏洞“使程序執行在應該發生分段錯誤或崩潰的情況下繼續進行。這種意外行爲可能會導致程序執行在損壞的運行時狀態下繼續進行，從而給黑客以利用的機會。
思科CX APT團隊的研究人員說，易受攻擊的嵌入式Web服務器是用C ++編寫的，並通過智能汽車的WiFi網絡對外暴露，致使攻擊者在訪問WiFi網絡後可攻擊web服務器。當提供一個大型GET請求時，web服務器崩潰並生成一個分段錯誤。
如今，汽車已成爲融合了機械和計算機系統的複雜機器，更多的傳感器和設備正在幫助汽車測量和了解其外部和內部位置，溫度和其他環境變量以及與其他物體的距離。這些自動駕駛汽車具有許多智能技術和應用程序，可以改善車輛安全性和駕駛體驗。
目前，已有90％以上的車輛IVI（衛星導航主機）是基於ARM / Linux的，該漏洞不僅限於車輛，也影響了IoT和包括工業控制在內的其他嵌入式系統。
奔馳智能汽車組件OLU源碼泄露
上週，來自瑞士的軟件工程師蒂爾·科特曼(Till Kottmann)在戴姆勒公司(Daimler AG)的Git web網站上發現了一個錯誤配置，他在戴姆勒的代碼託管門戶網站上創建一個帳戶，並下載580多個Git庫的內容，包含安裝在梅賽德斯奔馳車上安裝的車載邏輯單元（onboard logic units，OLU）的源代碼。
據戴姆勒網站介紹，OLU是位於汽車硬件和軟件之間組件，可以將車輛與雲端相連接。OLU簡化了實時車輛數據的技術訪問和管理，允許第三方開發者創建從奔馳車輛上提取數據的app。
這些app一般會被用來對路上的車輛進行追蹤、記錄車輛的內部狀態、或者在車輛被盜時鎖定車輛。
根據蒂爾·科特曼(Till Kottmann)的說法，該公司的官方GitLab服務器中沒有任何帳號確認過程，這使他可以註冊帳戶。
GitLab是一個基於web的軟件包，企業用它來集中處理Git存儲庫。Git是一種專門用於跟蹤源代碼修改的軟件，允許多人編寫代碼，然後將代碼同步到一箇中央服務器。本例中中央服務器就是戴姆勒Gitlab的網頁門戶。
蒂爾·科特曼(Till Kottmann)說他從戴姆勒的服務器上下載了超過580個git庫，他將部分文件上傳到了MEGA、Internet Archive和他自己的gitlab服務器上。
但蒂爾·科特曼(Till Kottmann)的行爲仍存有爭議，因爲他在將代碼公開之前並沒有準備通知戴姆勒。但另一方面，Gitlab服務器允許任何人去註冊賬號，因此可以看作是一個開放的系統。從開放的系統註冊賬號、下載信息、再上傳到網絡似乎也沒有什麼問題。
*本文出自SCA安全通信聯盟，轉載請註明出處。