{"id":549834,"date":"2023-01-09T09:57:32","date_gmt":"2023-01-09T11:57:32","guid":{"rendered":"https:\/\/teknomers.com\/fr\/des-millions-de-vehicules-en-danger-des-vulnerabilites-dapi-decouvertes-dans-16-grandes-marques-de-voitures\/"},"modified":"2023-01-09T09:57:33","modified_gmt":"2023-01-09T11:57:33","slug":"des-millions-de-vehicules-en-danger-des-vulnerabilites-dapi-decouvertes-dans-16-grandes-marques-de-voitures","status":"publish","type":"post","link":"https:\/\/teknomers.com\/fr\/des-millions-de-vehicules-en-danger-des-vulnerabilites-dapi-decouvertes-dans-16-grandes-marques-de-voitures\/","title":{"rendered":"Des millions de v\u00e9hicules en danger\u00a0: des vuln\u00e9rabilit\u00e9s d’API d\u00e9couvertes dans 16\u00a0grandes marques de voitures"},"content":{"rendered":"


\n<\/p>\n

\n

\ue802<\/i>09 janvier 2023<\/span>\ue804<\/i>Ravie Lakshmanan<\/span><\/span>S\u00e9curit\u00e9 automobile<\/span><\/p>\n<\/div>\n

\n
<\/div>\n

De multiples bogues affectant des millions de v\u00e9hicules de 16 fabricants diff\u00e9rents pourraient \u00eatre utilis\u00e9s pour d\u00e9verrouiller, d\u00e9marrer et suivre les voitures, en plus d’affecter la vie priv\u00e9e des propri\u00e9taires de voitures.<\/p>\n

Les vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9<\/a> ont \u00e9t\u00e9 trouv\u00e9s dans les API automobiles alimentant Acura, BMW, Ferrari, Ford, Genesis, Honda, Hyundai, Infiniti, Jaguar, Kia, Land Rover, Mercedes-Benz, Nissan, Porsche, Rolls Royce, Toyota ainsi que dans les logiciels de Reviver, SiriusXM et Spireon.<\/p>\n

Les failles couvrent une large gamme, allant de celles qui donnent acc\u00e8s aux syst\u00e8mes internes de l’entreprise et aux informations des utilisateurs aux faiblesses qui permettraient \u00e0 un attaquant d’envoyer \u00e0 distance des commandes pour ex\u00e9cuter du code.<\/p>\n

La recherche s’appuie sur des d\u00e9couvertes ant\u00e9rieures de la fin de l’ann\u00e9e derni\u00e8re, lorsque le chercheur de Yuga Labs, Sam Curry et al, a d\u00e9taill\u00e9 les failles de s\u00e9curit\u00e9 dans un service de v\u00e9hicule connect\u00e9 fourni par SiriusXM qui pourraient potentiellement exposer les voitures \u00e0 des attaques \u00e0 distance.<\/p>\n

Le plus grave des probl\u00e8mes, qui concerne la solution t\u00e9l\u00e9matique de Spireon, aurait pu \u00eatre exploit\u00e9 pour obtenir un acc\u00e8s administratif complet, permettant \u00e0 un adversaire d’\u00e9mettre des commandes arbitraires \u00e0 environ 15,5 millions de v\u00e9hicules ainsi que de mettre \u00e0 jour le micrologiciel de l’appareil.<\/p>\n

\"piratage<\/div>\n
\"piratage<\/div>\n
\"piratage<\/div>\n

“Cela nous aurait permis de suivre et d’\u00e9teindre les d\u00e9marreurs de la police, des ambulances et des v\u00e9hicules des forces de l’ordre pour un certain nombre de grandes villes diff\u00e9rentes et d’envoyer des commandes \u00e0 ces v\u00e9hicules”, ont d\u00e9clar\u00e9 les chercheurs.<\/p>\n

Les vuln\u00e9rabilit\u00e9s identifi\u00e9es dans Mercedes-Benz pourraient permettre l’acc\u00e8s aux applications internes via un syst\u00e8me d’authentification unique (SSO) mal configur\u00e9, tandis que d’autres pourraient permettre la prise de contr\u00f4le du compte utilisateur et la divulgation d’informations sensibles.<\/p>\n

D’autres failles permettent d’acc\u00e9der ou de modifier les dossiers des clients, les portails internes des concessionnaires, de suivre les emplacements GPS des v\u00e9hicules en temps r\u00e9el, de g\u00e9rer les donn\u00e9es de plaque d’immatriculation pour tous les clients Reviver et m\u00eame de mettre \u00e0 jour le statut du v\u00e9hicule comme “vol\u00e9”.<\/p>\n

Alors que toutes les vuln\u00e9rabilit\u00e9s de s\u00e9curit\u00e9 ont depuis \u00e9t\u00e9 corrig\u00e9es par les fabricants respectifs apr\u00e8s une divulgation responsable, les r\u00e9sultats soulignent la n\u00e9cessit\u00e9 d’une strat\u00e9gie de d\u00e9fense en profondeur pour contenir les menaces et att\u00e9nuer les risques.<\/p>\n

“Si un attaquant \u00e9tait capable de trouver des vuln\u00e9rabilit\u00e9s dans les terminaux API utilis\u00e9s par les syst\u00e8mes t\u00e9l\u00e9matiques des v\u00e9hicules, il pourrait klaxonner, faire clignoter les lumi\u00e8res, suivre \u00e0 distance, verrouiller\/d\u00e9verrouiller et d\u00e9marrer\/arr\u00eater les v\u00e9hicules, compl\u00e8tement \u00e0 distance”, ont not\u00e9 les chercheurs.<\/p>\n

<\/p>\n

Vous avez trouv\u00e9 cet article int\u00e9ressant ? Suivez-nous sur Twitter \uf099<\/i><\/a> et LinkedIn<\/a> pour lire plus de contenu exclusif que nous publions.<\/div>\n<\/div>\n