Събитието Pwn2Own Automotive 2025, проведено на конференцията Automotive World в Токио, завърши с важни разкрития за сигурността в автомобилни информационно-развлекателни системи, станции за зареждане на електрически превозни средства и операционни платформи, използвани в индустрията. В рамките на три състезателни дни, Бяха разкрити 49 уязвимости от нулевия ден, Тоест неизвестни досега повреди, които пряко засягат технологичната инфраструктура на автомобилния сектор.
Това издание на Pwn2Own Automotive 2025 подчерта страхотната работа и преди всичко способността на участниците да използват тези уязвимости на устройства, работещи с най-новия фърмуер и операционни системи, с всички приложени актуализации и конфигурации по подразбиране.
Най-успешни награди и участници
За тези, които не са запознати с Pwn2Own Automotive, трябва да знаете, че това не е просто състезание на знания и умения, тъй като състезанието присъжда различни суми награди на изследователи, които успешно демонстрират своите подвизи. По време на това издание през 2025 г. бяха изплатени награди от общо $886,000 222,000, като най-забележителният състезател беше Sina Kheirkhah, която получи $147,000 110,000 долара за своите открития. Отборът на второ място Synacktiv получи $XNUMX XNUMX, докато отборът на трето място PHP Hooligans получи $XNUMX XNUMX.
Най-подходящите атаки
По време на състезанието бяха извършени множество успешни атаки на различни устройства и платформи, обхващащи както информационно-развлекателни системи, така и станции за зареждане на електрически превозни средства. Забележителните в информационно-развлекателните системи включват:
- Linux за автомобилен клас: Успешен експлойт компрометира среда, базирана на Automotive Grade Linux, платформа, широко използвана в индустрията, с награда от $33,500 XNUMX.
- Alpine iLX-507: Девет отделни атаки успешно експлоатираха уязвимости в тази система, като бяха присъдени общо $20,000 XNUMX. Идентифицирани са препълване на буфер, заместване на команди, грешки при проверка на сертификати и злоупотреби при преминаване на пътя на файла. Трябва да се отбележи, че три от тези атаки експлоатираха уязвимост, вече докладвана в предишното издание на състезанието, което предполага, че производителите все още не са коригирали определени проблеми със сигурността, открити преди година.
- Sony XAV-AX8500: Бяха извършени пет успешни хакове с награди на обща стойност $20,000 XNUMX. Уязвимостите включват целочислено препълване, байпас за удостоверяване, заместване на команди и препълване на буфер.
- Kenwood DMX958XR: Осем атаки успяха да компрометират тази система, с изплащания до $20,000 XNUMX за участниците. Бяха използвани пропуски при заместване на команди в операционната система, заедно с грешки при препълване на буфера и известни уязвимости.
Зарядни станции за електрически превозни средства
Едно от най-тревожните открития от състезанието беше броят на уязвимостите, открити в станциите за зареждане на електрически превозни средства, които биха могли да представляват значителен риск, ако се използват в реални среди.
- Phoenix Contact CHARX SEC-3150: Бяха демонстрирани три успешни атаки с обща печалба от $91,750 XNUMX. Беше открит експлойт, който комбинира три грешки във верига, позволявайки поемането на контрол върху системата.
- ChargePoint Home Flex: Три успешни хака с награди до $47,500 XNUMX. Идентифицирани са препълвания на буфери и експлойт срещу OCPP протокола, който е ключов за комуникацията между зарядните станции и електрическата мрежа.
- Станция Ubiquiti Connect EV: Две атаки експлоатираха криптографски ключ, оставен във фърмуера, като донесоха награди от $50,000 26,750 и $XNUMX XNUMX.
- Съединител за стена Tesla: като един от най-засегнатите, бяха демонстрирани общо пет успешни хакове, като плащанията достигнаха $50,000 XNUMX. Тези експлойти могат да представляват сериозен риск за собствениците на Tesla EV, като позволяват атаки срещу инфраструктурата за зареждане.
- Autel MaxiCharger AC Wallbox: Четири успешни атаки с награди до $50,000 XNUMX. Откритите уязвимости включват препълване на буфера, което може да компрометира сигурността и функционалността на устройството.
Що се отнася до демонстрираните атаки и в съответствие с правилата на състезанието, заслужава да се спомене, че техническите подробности за откритите уязвимости няма да бъдат публикувани още 90 дни, през което време производителите ще могат да разработват и пускат пачове за сигурност, за да коригират пропуските.
И накрая, ако се интересувате да научите повече за това, можете да се консултирате с подробности в следващия линк.