3.5亿汽车、10亿设备面临一键蓝牙远程代码执行漏洞
梅赛德斯、斯柯达和大众汽车，以及无数工业、医疗、移动和消费设备，可能易受名为"PerfektBlue"的攻击链影响。
漏洞详情
一款流行蓝牙实现中的四个漏洞可被串联利用，在数百万车辆和各种设备中实现远程代码执行（RCE）。
“Blue SDK"是一个蓝牙协议栈和软件开发工具包（SDK）。2024年5月17日，PCA网络安全研究人员发现Blue SDK中存在一系列漏洞，共同允许他们在依赖该SDK进行蓝牙连接的设备中远程执行代码。他们将此利用链称为"PerfektBlue”。
受影响系统范围巨大。开发商OpenSynergy在其主页上自豪地宣称，Blue SDK——以及基于其构建的RapidLaunch SDK（因此也可能存在漏洞）——已安装在3.5亿辆汽车中。这些汽车来自梅赛德斯-奔驰、大众和斯柯达等公司，以及第四家已知但未具名的公司。自福特于11月将Blue SDK集成到其基于安卓的车载信息娱乐（IVI）系统中后，Dark Reading已联系确认其是否也受到影响。
除了汽车，OpenSynergy还声称Blue SDK涉及全球超过10亿台嵌入式设备，包括消费、移动、工业和医疗行业。
PerfektBlue漏洞利用
研究人员在Blue SDK中发现了四个漏洞，标记为CVE-2024-45431至CVE-2024-45434。它们的严重性各不相同，前者在通用漏洞评分系统中获得"低"的3.5分（满分10分），后者获得"高"的8.0分。
与任何蓝牙黑客攻击一样，实际利用这些漏洞的一个主要障碍是物理接近性。攻击者可能需要将自己定位在目标设备约10米范围内才能进行配对，且设备必须配合。由于Blue SDK仅是一个框架，不同设备可能会阻止配对、限制攻击者可尝试的配对请求次数，或至少需要点击接受配对。
这是研究人员与大众汽车之间的争议点。该汽车制造商告诉Bleeping Computer，该漏洞利用依赖于五个高度特定的条件：
- 攻击者距离车辆最大5至7米
- 车辆点火开关必须打开
- 信息娱乐系统必须处于配对模式——即车辆用户必须正在主动配对蓝牙设备
- 车辆用户必须在屏幕上主动批准攻击者的外部蓝牙访问
- 攻击者必须保持在该5至7米的最大距离内以维持对车辆的访问
PCA高级安全研究员Mikhail Evdokimov澄清说，其中一些条件并不准确。“通常，在现代汽车中，信息娱乐系统可以在不激活点火的情况下打开。例如，在大众ID.4和斯柯达Superb中，这不是必须的，“他说，尽管情况可能因车辆而异。虽然初始访问确实需要近距离物理接近，但攻击者可以使用PerfektBlue植入远程访问恶意软件，使它们能够通过网络连接在任何距离持久存在。
甚至配对模式前提条件也不是绝对的。PCA网络安全的安全评估团队在给Dark Reading的声明中表示：“这取决于具体车型。对于梅赛德斯-奔驰NTG6，这是真的。然而，对于大众ID.4和斯柯达Superb，攻击者可以远程启动配对过程，不需要用户将信息娱乐系统置于配对模式。”
潜在后果
在其发表的研究中，PCA指出PerfektBlue可使攻击者通过GPS跟踪车辆、录制车内音频并窃取手机联系人等个人数据。
尽管他们自己没有测试，但研究人员还表示IVI漏洞可能导致对其他安全关键系统的威胁。“您可以将PerfektBlue视为车辆内部基础设施的入口点，该基础设施由数十个不同的模块和系统组成。在一个模块中执行代码，攻击者就获得了相当大的攻击面，用于进一步的利用步骤，最终可能导致汽车关键组件受损，“该公司在声明中写道。
另一方面，大众汽车告诉记者，PerfektBlue无法影响其车辆中更深层的系统，如转向和制动控制，因为有中间安全层。
Dark Reading已就其发现与PCA的不同之处联系大众汽车。
修补PerfektBlue
OpenSynergy报告称，2024年9月已向客户提供了补丁。然而，有迹象表明一些受影响的机器仍然易受攻击。6月23日，一家未具名的原始设备制造商（OEM）告诉研究人员，他们没有收到补丁，甚至没有收到任何关于其车辆易受攻击的通知。
针对Dark Reading的询问，OpenSynergy表示其客户不是OEM本身，而是其供应商之一，“我们可以确认他们已及时收到通知。我们没有完整细节，但我们理解OEM可能没有及时从其供应链收到有关漏洞的信息。” OpenSynergy还通知了该OEM所属的汽车行业网络安全组织。总的来说，该公司表示，“我们相信需要此补丁的系统除了这一家OEM外都已得到处理。”
Swimlane的首席安全自动化架构师Nick Tausek为OpenSynergy开脱。“供应商和制造商之间的复杂关系、供应链攻击的日益增多、软件物料清单（SBOM）的经常缺失以及计划性淘汰，共同构成了一个困难的表面，难以知道谁受到影响以及实际修补这些类型的设备，预计OEM特别是售后制造商会延迟收到通知，修补通常需要前往经销商处，“他说。“修补已达到制造商终止支持设备的可能性也是这类漏洞利用的一个担忧。”
他补充说：“对我来说，像PerfektBlue这样的攻击历来更多地说明了物联网修补的复杂局面，而不是对普通用户构成真正威胁。”