【安全圈】黑客可通過入侵車載調制解調器控制汽車儀表盤

關鍵詞

芯片漏洞

現(xiàn)代車輛的互聯(lián)特性日益突出，使其成為搭載精密物聯(lián)網(wǎng)技術的移動終端。雖然這種數(shù)字化演進提升了駕駛體驗，但也帶來了嚴重的安全隱患。

遠程劫持汽車儀表盤運行《毀滅戰(zhàn)士》等電子游戲的假設場景，如今已成為令人不安的現(xiàn)實。該漏洞源于汽車中控單元采用的系統(tǒng)級芯片（SoC）技術，特別是那些整合應用處理器與通信處理器來管理車輛功能的方案。

芯片級安全缺陷

問題的核心在于紫光展銳UIS7862A系統(tǒng)級芯片，該組件廣泛應用于現(xiàn)代車輛中控單元。該芯片集成了負責3G/4G/5G通信的調制解調器，攻擊者可利用調制解調器漏洞實現(xiàn)初始入侵。一旦突破防線，攻擊者就能橫向移動到應用處理器，最終完全控制儀表盤操作系統(tǒng)并竊取用戶數(shù)據(jù)。

Securelist安全分析師發(fā)現(xiàn)該調制解調器在3G RLC協(xié)議實現(xiàn)中存在關鍵缺陷。通過固件分析，他們發(fā)現(xiàn)數(shù)據(jù)包分片處理機制缺乏足夠的邊界檢查。這一疏漏使攻擊者能在安全通道建立前，遠程在調制解調器處理器上執(zhí)行任意代碼，從而繞過標準蜂窩網(wǎng)絡安全措施。該發(fā)現(xiàn)凸顯了汽車供應鏈中"黑盒"組件的脆弱性。

基于棧的緩沖區(qū)溢出漏洞

該漏洞的技術根源在于解析服務數(shù)據(jù)單元（SDU）的函數(shù)存在棧緩沖區(qū)溢出。協(xié)議允許數(shù)據(jù)包包含無限數(shù)量的可選頭部（通過特定位值標識），解析算法會順序處理這些頭部并將數(shù)據(jù)寫入棧變量。然而棧深度嚴格限制為0xB4字節(jié)，而惡意數(shù)據(jù)包大小可達0x5F0字節(jié)。

攻擊者只需發(fā)送包含足夠頭部的畸形數(shù)據(jù)包即可觸發(fā)溢出。由于該函數(shù)缺乏棧金絲雀保護機制，溢出會覆蓋返回地址。

研究人員采用面向返回編程（ROP）技術繞過不可執(zhí)行棧限制，構建的ROP鏈將執(zhí)行流重定向至AT+SPSERVICETYPE命令處理程序，從而實現(xiàn)數(shù)據(jù)向RAM的傳輸。

// 漏洞解析邏輯偽代碼
void process_sdu_headers(packet_data *sdu) {
    uint16_t header_stack[0x5A]; // 0xB4字節(jié)緩沖區(qū)
    while (sdu->has_more_headers) {
       // 未檢查邊界即寫入緩沖區(qū)
       header_stack[index++] = read_next_header(); 
    }
}

通過利用該內存破壞漏洞，攻擊者成功執(zhí)行了自定義代碼——他們通過修改內存保護單元表獲取寫入權限，最終攻陷Android內核并在車載中控單元上運行任意應用。

安全圈

網(wǎng)羅圈內熱點 專注網(wǎng)絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！