Les chercheurs en cybers\u00e9curit\u00e9 ont d\u00e9couvert une vuln\u00e9rabilit\u00e9 de s\u00e9curit\u00e9 qui expose les voitures de Honda, Nissan, Infiniti et Acura \u00e0 des attaques \u00e0 distance via un service de v\u00e9hicule connect\u00e9 fourni par SiriusXM.<\/p>\n
Le probl\u00e8me pourrait \u00eatre exploit\u00e9 pour d\u00e9verrouiller, d\u00e9marrer, localiser et klaxonner n’importe quelle voiture de mani\u00e8re non autoris\u00e9e simplement en connaissant le num\u00e9ro d’identification du v\u00e9hicule (VIN), a d\u00e9clar\u00e9 le chercheur Sam Curry dans un Fil Twitter<\/a> La semaine derni\u00e8re.<\/p>\n Les services de v\u00e9hicules connect\u00e9s (CV) de SiriusXM sont a dit<\/a> \u00eatre utilis\u00e9 par plus de 10 millions de v\u00e9hicules en Am\u00e9rique du Nord, y compris Acura, BMW, Honda, Hyundai, Infiniti, Jaguar, Land Rover, Lexus, Nissan, Subaru et Toyota.<\/p>\n Le syst\u00e8me est con\u00e7u<\/a> pour permettre une large gamme de services de s\u00fbret\u00e9, de s\u00e9curit\u00e9 et de commodit\u00e9 tels que la notification automatique d’accident, l’assistance routi\u00e8re am\u00e9lior\u00e9e, le d\u00e9verrouillage des portes \u00e0 distance, le d\u00e9marrage du moteur \u00e0 distance, l’assistance \u00e0 la r\u00e9cup\u00e9ration de v\u00e9hicule vol\u00e9, la navigation pas \u00e0 pas et l’int\u00e9gration avec les appareils domestiques intelligents, entre autres.<\/p>\n La vuln\u00e9rabilit\u00e9 concerne une faille d’autorisation dans un programme t\u00e9l\u00e9matique qui a permis de r\u00e9cup\u00e9rer les d\u00e9tails personnels d’une victime ainsi que d’ex\u00e9cuter des commandes sur les v\u00e9hicules en envoyant une requ\u00eate HTTP sp\u00e9cialement con\u00e7ue contenant le num\u00e9ro VIN \u00e0 un point de terminaison SiriusXM (“telematics.net”) .<\/p>\n Dans un d\u00e9veloppement connexe, Curry a \u00e9galement d\u00e9taill\u00e9<\/a> une vuln\u00e9rabilit\u00e9 distincte affectant les voitures Hyundai et Genesis qui pourrait \u00eatre exploit\u00e9e pour contr\u00f4ler \u00e0 distance les serrures, les moteurs, les phares et les coffres des v\u00e9hicules fabriqu\u00e9s apr\u00e8s 2012 en utilisant les adresses e-mail enregistr\u00e9es.<\/p>\n Gr\u00e2ce \u00e0 l’ing\u00e9nierie inverse des applications MyHyundai et MyGenesis et \u00e0 l’inspection du trafic API, les chercheurs ont trouv\u00e9 un moyen de contourner l’\u00e9tape de validation des e-mails et de prendre le contr\u00f4le \u00e0 distance des fonctions d’une voiture cible.<\/p>\n \u00ab En ajoutant un Caract\u00e8re CRLF<\/a> \u00e0 la fin d’une adresse e-mail de victime d\u00e9j\u00e0 existante lors de l’inscription, nous pouvions cr\u00e9er un compte qui contournait la v\u00e9rification de comparaison des param\u00e8tres JWT et e-mail \u00bb, a expliqu\u00e9 Curry.<\/p>\n SiriuxXM et Hyundai ont depuis d\u00e9ploy\u00e9 des correctifs pour corriger les d\u00e9fauts.<\/p>\n Les r\u00e9sultats viennent alors que Sandia National Laboratories r\u00e9sum\u00e9<\/a> un nombre de d\u00e9fauts connus<\/a> dans l’infrastructure alimentant la recharge des v\u00e9hicules \u00e9lectriques (VE), qui pourrait \u00eatre exploit\u00e9e pour \u00e9cr\u00e9mer les donn\u00e9es des cartes de cr\u00e9dit, modifier les prix et m\u00eame d\u00e9tourner tout un r\u00e9seau de chargeurs de VE.<\/p>\n <\/p>\n![\"La](\"https:\/\/thehackernews.com\/new-images\/img\/b\/R29vZ2xl\/AVvXsEjRFZ8qsBvgTY-k97x35shkWsLwy9nml2qvGAhoSUrgnOv4cjMNq_Fxt3PX1-fGsYvukFgecZk_tEq7yo25JhDC5-Vs1Y7zQbdJRNWI2oxxbGupTJLIJ0PYz_4_8B6uWYsPON_7MgJlvofZuiWyadFpo71DOfXvGZzq6ie6zFQwJuzi2macqFLGR30PbA\/s1600\/Uptycs-728.jpg\")
<\/a><\/center><\/div>\n![\"Pirater](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2022\/12\/La-vulnerabilite-SiriusXM-permet-aux-pirates-de-deverrouiller-et-de.gif\" "\\"Pirater")
<\/div>\n