محققان امنیتی آسیب‌پذیری خطرناکی در سرویس استارلینک (Starlink) شرکت سوبارو کشف کرده‌اند که به مهاجمان امکان ردیابی، کنترل و هایجک خودروها در ایالات متحده، کانادا و ژاپن را تنها با استفاده از پلاک خودرو می‌داد. سم کری، شکارچی باگ بانتی (bug bounty hunter)، روز پنج‌شنبه اعلام کرد که این آسیب‌پذیری در ۲۰ نوامبر ۲۰۲۴ با همکاری محقق شبهام شاه کشف شده است. این نقص امنیتی به مهاجمان بالقوه دسترسی نامحدود و هدفمند به تمام حساب‌های کاربری و خودروهای مشتریان آمریکایی، کانادایی و ژاپنی می‌داد، تنها با داشتن نام خانوادگی و کد پستی قربانی، آدرس ایمیل، شماره تلفن یا پلاک خودرو.
سوءاستفاده موفق از این آسیب‌پذیری به هکرها امکان روشن، خاموش، قفل، باز کردن قفل و دریافت موقعیت فعلی هر خودرو را از راه دور می‌داد، علاوه بر دسترسی به تاریخچه مکان خودرو در سال گذشته با دقت ۵ متر. کری ویدئویی منتشر کرد که نشان می‌داد چگونه می‌توان در عرض ۱۰ ثانیه به بیش از یک سال داده مکانی یک خودروی سوبارو دست یافت. این آسیب‌پذیری از طریق نقطه پایانی API به نام “resetPassword.json” در پورتال مدیریتی استارلینک سوبارو ایجاد شده بود که برای بازنشانی حساب کارمندان بدون نیاز به توکن تأیید طراحی شده بود. سوبارو این آسیب‌پذیری را ظرف ۲۴ ساعت پس از گزارش محققان برطرف کرد و هرگز توسط مهاجمان سوءاستفاده نشد.
کلمات کلیدی : آسیب‌پذیری استارلینک, هک خودرو, امنیت سوبارو, ردیابی خودرو, API vulnerability, bug bounty
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.