نقص در GPS به هکرها اجازه ردیابی یا توقف وسایل نقلیه را می‌دهد

به گزارش سیتنا به نقل از پلیس فتا، محققان امنیتی هشدار می‌دهند که آسیب پذیری‌ها می‌توانند "عواقب فاجعه بار" داشته باشند.

به گفته محققان امنیتی، آسیب‌پذیری‌های امنیتی حیاتی در یک ردیاب GPS محبوب که برای ردیابی ناوگان وسایل نقلیه توسط زیرساخت‌های حیاتی، دولت‌ها و خدمات اضطراری در سراسر جهان استفاده می‌شود، می‌تواند برای ردیابی، توقف و حتی کنترل وسایل نقلیه از راه دور استفاده شود.

آنها هشدار می‌دهند که شدت آسیب پذیری‌ها و احتمال ایجاد اختلال در وسایل نقلیه در جاده‌ها به این معنی است که ردیاب های GPS MiCODUS MV720 تا زمانی که یک به روز رسانی امنیتی در دسترس قرار نگیرد، استفاده نشوند. اعتقاد بر این است که 1.5 میلیون دستگاه MiCODUS در 169 کشور استفاده می شود. CISA همچنین هشداری درباره این آسیب‌پذیری‌ها صادر کرده و هشدار داده است که این آسیب‌پذیری‌ها می‌توانند بر دسترسی به منابع سوخت خودرو و کنترل خودرو تأثیر بگذارند و اجازه نظارت بر مکان خودروهایی را که دستگاه در آنها نصب شده است، می‌دهد.

به گفته BitSight، این آسیب‌پذیری‌ها می‌تواند به مهاجمان اجازه دهد تا خودروهای اضطراری را مختل کنند، زنجیره‌های تامین را مختل کنند، ردیابی غیرقانونی غیرنظامیان، و سیاستمداران و رهبران تجاری را امکان‌پذیر کنند، و همچنین به پیامدهای امنیت ملی به دلیل استفاده از ردیاب‌ها در میان ارتش‌ها منجر شوند. چندین کشور.

این آسیب‌پذیری‌ها شامل دو آسیب‌پذیری است که با امتیاز CVSS (سیستم امتیازدهی آسیب‌پذیری مشترک) 9.8 به عنوان بحرانی طبقه‌بندی می‌شوند. اولین مورد CVE-2022-2107، یک آسیب‌پذیری رمز عبور اصلی سخت‌کد شده است که به مهاجم از راه دور اجازه می‌دهد به وب سرور وارد شود، هویت کاربر را جعل کند و دستورات SMS را مستقیماً به ردیاب GPS ارسال کند، انگار که کاربر واقعی است.

دومی CVE-2022-2141 است، یک آسیب‌پذیری احراز هویت نامناسب که به مهاجمان راه دور اجازه می‌دهد تا دستورات را با استفاده از پیامک بدون هیچ گونه احراز هویتی اجرا کنند و به مهاجم اجازه می‌دهد کنترل وسایل نقلیه را به دست آورد. دستگاه‌های GPS نیز با رمز عبور پیش‌فرض ارسال می‌شوند - و نیازی به تغییر آن نیست. BitSight تجزیه و تحلیل آنها نشان می‌دهد که بسیاری از کاربران این ساده ترین رمز عبور را تغییر نداده اند و ردیاب های GPS را برای دسترسی از راه دور آسیب پذیر می کنند.

نقص‌های دیگر عبارتند از یک آسیب‌پذیری متقابل اسکریپت (CVE-2022-2199) که به مهاجم اجازه می‌دهد تا با فریب دادن کاربر در ارسال درخواست، کنترل را به دست آورد، و یک آسیب‌پذیری دور زدن مجوز (CVE-2022-34150)، که به مهاجمان اجازه دسترسی می‌دهد. داده ها از هر شناسه دستگاه در پایگاه داده سرور - آنها را قادر می سازد اطلاعات شخصی را جمع آوری کنند.

محققان همچنین یک نقص وب سرور (CVE-2022-33944) را به تفصیل شرح داده اند که به کاربران تایید نشده اجازه می دهد تا گزارش های اکسل را در مورد فعالیت دستگاه مانند مکان های ارجاع شده به GPS ایجاد کنند که جزئیات مکان توقف خودرو و مدت زمان توقف آن را مشخص می کند.

انتهای پیام