Vulnerabilità in BlueSDK, milioni di veicoli a rischio di attacco

I ricercatori di PCA Cybersecurity hanno individuato un set di vulnerabilità presenti in BlueSDK, uno stack Bluetooth ampiamente usato nell’industria automobilista, che mette milioni di veicoli a rischio di attacchi da remoto.

Il team ha trovato quattro bug, di cui uno a rischio critico, che permettono a un attaccante di combinarli per eseguire un attacco di esecuzione di codice remoto 1-click (1-click RCE). Accedendo al sistema colpito, il cybercriminale è in grado di effettuare escalation dei privilegi, eseguire comandi per compromettere il sistema e spostarsi lateralmente su altri componenti connessi.

La vulnerabilità più critica è la CVE-2024-45434, un bug use-after-free presente nel protocollo AVRCP dello stack BlueSDK, causato da una mancata validazione dell’esistenza di un oggetto. “Un attaccante può sfruttare questa vulnerabilità per eseguire codice da remoto nel contesto di un utente che esegue il processo Bluetooth” spiega la compagnia di sicurezza.

L’unico requisito per eseguire l’attacco è che l’attaccante sia nel range del Bluetooth affinché possa effettuare il pairing col dispositivo. L’unico limite a questa operazione è il tipo di implementazione scelta per BlueSDK, personalizzabile per ogni sistema in base alle necessità del produttore. In alcuni casi il pairing potrebbe essere disabilitato o contemplare un numero limitato di dispositivi, mentre in alti casi potrebbe non avere certe limitazioni.

Tra i vendor dell’automotive colpiti spiccano Mercedes-Benz AG, Volkswagen e Skoda; per ognuno di questi produttori, PCA Cybersecurity ha eseguito una Proof of exploitationsu uno dei loro sistemi di infotainment. La compagnia ha specificato che, oltre a questi e altri vendor del settore, anche molti nomi al di fuori dell’automotive sono vulnerabili all’attacco.

Il team di PCA Cybersecurity ha contattato OpenSynergy, la compagnia dietro BlueSDK, a maggio 2024. OpenSynergy ha rilasciato le patch risolutive tra settembre e ottobre; nel frattempo, i diversi vendor colpiti sono stati avvisati della catena di attacco. Nonostante l’intervento di OpenSynergy alla fine dello scorso anno, molti produttori non hanno ricevuto o non sono riusciti ad applicare la patch fino a giugno scorso.

PCA Cybersecurity invita gli utenti ad aggiornare il prima possibile i propri dispositivi ed eventualmente contattare il produttore per verificare che la versione installata contenga il fix per le vulnerabilità.