福特稱自家車輛的 WiFi 系統存在漏洞,但強調不影響行車安全。

- Arthur Chan - 2023-08-20 - visibility Views

福特公司近日發出警告,稱其在許多福特和林肯車輛中使用的 SYNC3 娛樂系統存在緩衝區溢出漏洞,可能導致遠程代碼執行,但強調車輛的駕駛安全並未受到影響。SYNC3 是一個現代化的娛樂系統,支援車輛內的 WiFi 熱點、手機連接、語音指令、第三方應用程式等功能。

該漏洞影響以下車型:

  • 福特 EcoSport(2021年至2022年)
  • 福特 Escape(2021年至2022年)
  • 福特 Bronco Sport(2021年至2022年)
  • 福特 Explorer(2021年至2022年)
  • 福特 Maverick(2022年)
  • 福特 Expedition(2021年)
  • 福特 Ranger(2022年)
  • 福特 Transit Connect(2021年至2022年)
  • 福特 Super Duty(2021年至2022年)
  • 福特 Transit(2021年至2022年)
  • 福特 Mustang(2021年至2022年)
  • 福特 Transit CC-CA(2022年)

該漏洞的 CVE 編號為 CVE-2023-29468,位於車輛娛樂系統中的 WiFi 子系統的 WL18xx MCP 驅動程式中,允許處於 WiFi 範圍內的攻擊者使用特製的幀觸發緩衝區溢出。

該系統供應商的安全公告稱:「處於潛在易受攻擊設備的無線範圍內的攻擊者可獲得對執行 MCP 驅動程式的主機處理器記憶體進行覆寫的能力。」

福特公司已由供應商獲悉此 WiFi 漏洞的發現,並立即展開採取行動,驗證該漏洞,評估其影響,並制定適當的緩解措施。在福特的媒體發布中,該汽車製造商承諾將很快提供軟體更新,用家可以將其下載到 USB 隨身碟並在車輛上進行安裝。

為了進一步緩解疑慮,該美國汽車製造商還表示,該漏洞並不容易被利用,即使在極端情況下,也不會危及目標車輛的安全。福特解釋道:「迄今為止,我們尚未見到有關漏洞被利用的證據,這可能需要相當的專業知識,同時也需要靠近已正在使用並啟用 WiFi 設定的特定車輛。」

另外「我們的調查還發現,即使該漏洞被利用,儘管可能性很小,但不會影響車輛駕駛人員的安全,因為娛樂系統已與方向盤、油門和制動等控制措施進行了隔離。」
最後,該公司邀請所有在其車輛中發現漏洞的安全研究人員,將其報告直接提交到公司的 HackerOne 計劃,通過該計劃,該公司迄今已解決了近 2,500 個漏洞。

資料來源:bleepingcomputer