یک محقق امنیتی هشدار داده است که دو آسیب‌پذیری وصله نشده در پورتال وب ConnectedDrive BMW، سازوکاری برای دست‌کاری تنظیمات این اتومبیل ایجاد می‌کنند.
اولین و البته خطرناک‌ترین آسیب‌پذیری راهی برای مهاجم فراهم می‌کند تا پیش از اینکه تنظیمات درون ماشین از جمله قفل و باز کردن خودرو، دست‌یابی به حساب‌های رایانامه، مدیریت مسیرها و اطلاعاتی در مورد ترافیک را تغییر دهد به شماره شناسایی خودرو (VIN) دیگری دست یابد. دومین آسیب‌پذیری که خطر کمتری دارد شامل حفره‌ای روی صفحه وب تغییر کلمه عبور پورتال ConnectedDrive BMW است که موجب حمله XSS می‌شود.
محقق امنیتی بنجامین کونز مجری از آزمایشگاه Vulnerability این دو حفره را کشف و دو توصیه‌نامه در مورد آن‌ها منتشر نمود.
El Reg می‌گوید از سازنده آلمانی این خودرو خواسته راجع به این دو آسیب‌پذیری توضیحاتی دهد اما هنوز از طرف آن‌ها پاسخی دریافت نشده است.
کونز مجری گفت: «شماره شناسایی VIN به پیکربندی ماشین وصل می‌شود. شخص پس از اولین ورود برای دسترسی به پیکربندی باید VIN معتبری وارد کند. این آسیب‌پذیری و دست‌کاری باعث دور زدن مرحله تائید اعتبار VIN می‌شود و مهاجم می‌تواند به پیکربندی ماشین دست یابد؛ و در پایان مهاجم می‌تواند به‌طور کامل و به‌صورت ناشناس به پیکربندی اتومبیل BMW دیگری نیز دسترسی یابد». طبق گفته وی، حفره‌ای که موجب XSS می‌شود را نیز باید وصله نمود.
مجری در ادامه گفت: «XSS در محل رمز امنی اتفاق می‌افتد که برای هر درخواست ورودی تائید می‌شود. مهاجم می‌تواند با ارسال یک رمز معتبر با این بار داده از کاربران حساب پورتال BMW سوءاستفاده کند. با تخمین متخصصان، این حفره از درجه متوسط است».
این خطاهای امنیتی در مورد اتومبیل BMW در پی کشف خطاهای اخیر در مورد کیت این اتومبیل و تنها چند هفته پس از کشف نقص امنیتی در Mitsubishi Outlander توسط محققان امنیتی در Pen Test Partners، کشف شدند.
متخصصان امنیتی مستقل می‌گویند باید در ساختار امنیتی این اتومبیل تجدیدنظری صورت گیرد.
سیمون مفات رهبر EMEA در شرکت مدیریت و دسترسی ForgeRock گفت: «آسیب‌پذیری روز-صفرم BMW که باعث سوءاستفاده از بخش VIN می‌شود نیز نمونه دیگری است که نشان می‌دهد چرا استفاده از روش شناخت‌محور برای مدیریت دستگاه‌هایی که به اینترنت وصل می‌شوند در کاهش خطرات و افزایش تجربه کاربر لازم و ضروری است. با افزایش استفاده از اینترنت اشیا در وسایل و تجهیزات، وسایلی مانند ماشین‌هایی که به اینترنت وصل می‌شوند هدف جذاب‌تری برای مهاجمان می‌شوند.
وی افزود: درحالی‌که سازندگان روی تجربه کاربر نهایی و اتصال دستگاه تمرکز می‌کنند، باید به فکر امنیت آن نیز باشند ازجمله اینکه روی دستگاه، خدمات و مدیریت شناخت کاربر تمرکز کنند.
منبع: asis
درباره نماد امنیت وب
“نماد امنیت وب” به عنوان یکی از شرکت های پیشتاز در زمینه امنیت نرم افزار و سرویس های تحت وب، با ارائه سرویس های امنیتی برای تمامی کسب و کار ها و دارای نمایندگی شرکت Acunetix (اکوانتیکس) بعنوان محبوب ترین اسکنر امنیتی black box در دنیا، ایمنی وب سایت شما را در مقابل حمله هکر ها تضمین می کند.