详细内容或原文请订阅后点击阅览
电动车如何免费加油？由 Pwn2Own 的黑客提示
Autel MaxiCharger 漏洞不需要攻击者拥有任何特殊技能或设备。
来源:安全实验室新闻频道自动化最大化的脆弱性不需要攻击的特殊技能或设备。
在今年1月在东京举行的PWN2WAN Automotive 2024比赛中，一组研究人员在三种不同的电动汽车充电器中表现出脆弱性：Autel Maxicharger，ChargePoint Home Flex和Juicebox 40。最有趣的结果之一成为最有趣的结果之一。 Charger Autel Maxicharger（型号Maxi AC W12-L-4G）在没有其他条件的情况下成功执行了代码的成功性能。
PWN2WAN汽车2024 div> 今年1月 成功代码Autel Maxicharger充电器具有许多硬件功能，例如Wi-Fi，以太网，蓝牙，4G LTE，RFID读取器和触摸屏。在研究期间，团队发现了几个严重的漏洞，包括通过蓝牙（CVE-2024-23958）绕过身份验证的可能性，并以缓冲溢出的形式（CVE-2024-23959和CVE-2024-23967）以缓冲溢出的形式出现了两个脆弱的地方。这些错误允许攻击者能够完全控制设备。
CVE-2024-23958 div> CVE-2024-23959 div> CVE-2024-23967 div>研究人员的主要困难是提取设备固件。该团队进行了几次尝试，以了解软件如何通过移动应用程序和蓝牙更新。发现下载更新的链接被稀释后，黑客能够使用替换符号的方法来破译它们，从而使他们可以下载固件并开始分析。
在分析过程中，研究人员揭示了通过蓝牙身份验证期间的错误，该错误允许使用固件中内置的代码来绕开真实性。这意味着蓝牙区域中的任何设备都可以在无需输入身份验证代码的情况下连接到充电设备。