PerfektBlue Açıklaması
Son günlerde otomotiv sektöründe tartışmalara yol açan PerfektBlue adı verilen dört güvenlik açığı, OpenSynergy’nin BlueSDK Bluetooth yığınında tespit edilmiştir. Bu açıklar, uzaktan kod yürütme (RCE) yoluyla, Mercedes-Benz, Volkswagen ve Skoda gibi çeşitli araçların kritik bileşenlerine erişim sağlanmasına olanak tanıyabilmektedir. OpenSynergy, bu güvenlik açıklarını geçen yıl Haziran ayında doğruladı ve Eylül 2024’te müşterilerine yamanın ilk versiyonunu sunmasına rağmen, birçok otomobil üreticisinin bu güncellemeleri henüz uygulamadığı bildirilmektedir.
PerfektBlue Saldırıları
PCA Cyber Security ekipleri, PerfektBlue güvenlik açıklarını Mayıs 2024’te araştırarak OpenSynergy’ye raporlamışlardır. Bu ekip, otomotiv güvenliği alanında uzmanlaşmış bir firmadır ve Pwn2Own Automotive yarışmalarına düzenli olarak katılarak, geçen yıl araç sistemlerinde 50’den fazla güvenlik açığını keşfetmiştir. Açıklamaya göre, PerfektBlue saldırısı “otomotiv ve diğer endüstrilerde milyonlarca cihazı” etkilemektedir.
BlueSDK’daki hataların bulunması, yazılım ürününün derlenmiş binary’sinin analiz edilmesiyle mümkün olmuştur. Bu sayede, sistemin iç yapısına, bilgi-eğlence sistemi üzerinden erişim elde edilebilmektedir. Bulunan açıklar arasında şu CVE numaraları bulunmaktadır:
- CVE-2024-45434 (yüksek önem derecesi): AVRCP hizmetinde “use-after-free” hatası, uzaktan medya cihazlarının kontrolünü sağlıyor.
- CVE-2024-45431 (düşük önem derecesi): L2CAP kanalı için yanlış tanımlama.
- CVE-2024-45433 (orta önem derecesi): RFCOMM protokolünde yanlış işlev sonlandırma.
- CVE-2024-45432 (orta önem derecesi): RFCOMM protokolünde yanlış parametre ile işlev çağrısı.
Araştırmacılar, PerfektBlue açıklarının kötü niyetli bir kullanıcı tarafından kullanılarak sistemin manipüle edilmesine, yetki artırılmasına ve hedef üründeki diğer bileşenlere lateral hareket edilmesine olanak sağladığını belirtmişlerdir. PCA Cyber Security, Volkswagen ID.4, Mercedes-Benz NTG6 ve Skoda Superb araçlarındaki bilgi-eğlence birimleri üzerinde PerfektBlue saldırıları gerçekleştirmiştir ve TCP/IP üzerinden cihazlar arasında iletişim sağlamak için bir ters shell elde edilmiştir.
Risk ve Maruz Kalma
OpenSynergy’nin BlueSDK’sı, otomotiv endüstrisinde yaygın olarak kullanılmasına rağmen, hangi üreticilerin bu teknolojiye güvendiğini belirlemek zordur. Çünkü özelleştirme ve yeniden ambalajlama süreçleri, araçların gömülü yazılım bileşenleri hakkında şeffaflık eksikliği yaratmaktadır. PerfektBlue saldırıları, genellikle bir kullanıcının bir saldırgan cihazıyla eşleştirmeyi onaylamasını gerektiren bir 1-tıklama RCE olarak tanımlanmaktadır. Ancak bazı otomobil üreticileri, bilgi-eğlence sistemlerini onaysız eşleştirme yapacak şekilde yapılandırmışlardır.
PCA Cyber Security, Volkswagen, Mercedes-Benz ve Skoda’ya açıklar hakkında bilgi vermiştir. Bunun ardından araştırmacılar, bu açıkların ele alınması konusunda üreticilerden herhangi bir geri dönüş almadıklarını belirtmişlerdir. BleepingComputer, bu otomobillerin OpenSynergy’nin önerilerini uygulayıp uygulamadığını sormak için iletişim kurmuştur. Volkswagen, konuyu hemen araştırmaya başladıklarını belirtmiştir; ancak diğer markalardan yanıt alınamamıştır.
Volkswagen’in sözcüsü, “Araştırmalar, belirli koşullar altında aracın bilgi-eğlence sistemine yetkisiz bir şekilde bağlanmanın mümkün olduğunu ortaya koydu” demiştir. Ancak bu koşulların sağlanması durumunda dahi, bir hacker’ın kritik araç fonksiyonlarıyla (direksiyon, sürücü destek sistemleri, motor veya frenler) etkileşime geçemeyeceği vurgulanmıştır.
Gelecekteki Adımlar ve Çözüm Süreci
PCA Cyber Security, bir başka otomobil üreticisinde PerfektBlue açığının keşfedildiğini bildirmiştir; ancak bu üreticiye konuyla ilgili henüz bilgi verilmediği belirtilmiştir. Araştırmacılar, bu OEM hakkında daha fazla bilgi paylaşmayı planladıklarını ve detayları Kasım 2025’te bir konferansta sunacaklarını ifade etmişlerdir.
OpenSynergy’nin müşterileri üzerindeki PerfektBlue etkilerini ve kaç kişinin etkilendiğini öğrenmek için iletişime geçilmiştir, ancak henüz bir yanıt alınamamıştır. Automotiv endüstrisindeki bu tür güvenlik açıkları, yalnızca kullanıcıları değil, tüm sektörü tehdit eden ciddi riskler taşımaktadır. Dolayısıyla, bu tür açıkların giderilmesi için hızlı ve etkili bir çözüm sürecinin izlenmesi büyük önem arz etmektedir.
