Pesquisadores de segurança descobriram falhas críticas no portal de concessionárias da Kia. As falhas descobertas podem permitir que hackers localizem e roubem milhões de carros Kia fabricados depois de 2013 usando apenas a placa do veículo visado.
Falhas em concessionárias Kia
De acordo com o pessoal do Bleeping Computer, há quase dois anos, alguns dos hackers deste grupo, incluindo o pesquisador de segurança e caçador de recompensas por bugs Sam Curry, encontraram outras vulnerabilidades críticas que afetavam mais de uma dúzia de montadoras e que teriam permitido que criminosos localizassem, desabilitassem partidas, destravassem e dessem partida remotamente em mais de 15 milhões de veículos fabricados pela Ferrari, BMW, Rolls Royce, Porsche e outras montadoras.
Agora, Curry revelou que as vulnerabilidades do portal da web da Kia descobertas em 11 de junho de 2024 poderiam ser exploradas para controlar qualquer veículo Kia equipado com hardware remoto em menos de 30 segundos, “independentemente de ter uma assinatura ativa do Kia Connect”. As falhas também expuseram informações pessoais confidenciais dos proprietários dos carros, incluindo nome, número de telefone, endereço de e-mail e endereço físico, e podem ter permitido que os invasores se adicionassem como um segundo usuário nos veículos visados ??sem o conhecimento dos proprietários.
Demonstrando o problema
Para demonstrar melhor o problema, a equipe criou uma ferramenta mostrando como um invasor poderia inserir a placa de um veículo e, em 30 segundos, trancar ou destrancar o carro remotamente, ligá-lo ou pará-lo, buzinar ou localizar o veículo. Os pesquisadores registraram uma conta de revendedor no portal de revendedores kiaconnect.kdealer.com da Kia para obter acesso a essas informações.
Notícias Relacionadas
Após a autenticação, eles geraram um token de acesso válido que lhes deu acesso às APIs de back-end do revendedor, fornecendo detalhes essenciais sobre o proprietário do veículo e acesso total aos controles remotos do carro.
Eles descobriram que os invasores poderiam usar a API do revendedor de backend para: gerar um token de revendedor e recupere-o da resposta HTTP; acessar o endereço de e-mail e o número de telefone da vítima; modificar as permissões de acesso do proprietário usando informações vazadas e; adicionar um e-mail controlado pelo invasor ao veículo da vítima, permitindo comandos remotos
As falhas no portal da Kia permitiram acesso silencioso e não autorizado a um veículo, pois, como Curry explicou, “do lado da vítima, não houve notificação de que seu veículo havia sido acessado nem que suas permissões de acesso foram modificadas”. “Essas vulnerabilidades já foram corrigidas, essa ferramenta nunca foi lançada e a equipe da Kia confirmou que ela nunca foi explorada de forma maliciosa”, acrescentou Curry.
Via: Bleeping Computer
