Megint sikerült feltörni a Teslákat
Alapvetően nincs olyan informatikai rendszer amelyet ne lehetne feltörni, ha valaki elég sok erőforrással és szaktudással rendelkezik. Ezeket ugyanis emberek alkotják meg, az emberek pedig hibázhatnak – főleg ha komplikált, nagy rendszerekről van szó. Természetesen a Teslánál is igyekeznek a lehető legbiztonságosabbra tervezi az autóik szoftverét, de tudják, hogy száz százalékos védelem nincs. Ezért rendszeresen kihívják a sorsot maguk ellen, sőt, jutalmazzák aki feltöri az autók számítógépét.
Most is ez történt.
Szép summa
Az idei Pwn2Own verseny első napján 100 ezer dollárt és egy Model 3-at nyert a Syncaktiv csapata, amikor sikerült feltörniük egy Tesla rendszerét. A fehérkalapos francia hekkerek egy úgynevezett TOCTOU támadással tudtak behatolni a Tesla Gateway rendszerébe, amelyen az autók hálózati kommunikációja folyik keresztül. Részleteket természetesen nem árultak el, mivel a verseny nem titkolt célja, hogy azok a cégek amelyek elég bátrak a részvételhez, befoltozhassák a biztonsági rést, mielőtt valaki visszaél azzal.
CONFIRMED! @Synacktiv successfully executed a TOCTOU exploit against Tesla – Gateway. They earn $100,000 as well as 10 Master of Pwn points and this Tesla Model 3. #Pwn2Own #P2OVancouver pic.twitter.com/W61NasJPAl
— Zero Day Initiative (@thezdi) March 22, 2023
A csapat azonban ennél még többet, 250 ezer dollárt akasztott le a Tesláról a második nap, amikor az autók infotainment rendszerét is sikeresen feltörték egy úgynevezett heap overflow (halom túlcsordulás) hiba kiaknázásával, amely a túlcsordulásos memóriakorrupciós hibák egyik fajtája.
CONFIRMED! @Synacktiv used a heap overflow & an OOB write to exploit the Infotainment system on the Tesla. When they gave us the details, we determined they actually qualified for a Tier 2 award! They win $250,000 and 25 Master of Pwn points. 1st ever Tier 2 award. Stellar work! pic.twitter.com/IPOnXG5S0u
— Zero Day Initiative (@thezdi) March 23, 2023
Az eseményen a Tesla egy Model S-sel és egy Model 3-mal vett részt, és a kisebbik kocsin kívül összesen 600.000 dollár jutalmat ajánlott fel, a feltárt hiba súlyosságának függvényében. De voltak olyan hekkerek akik a Microsoft SharePoint, Teams és Windows 11, az Oracle VirtualBox, vagy az Ubuntu Desktop rendszereit törték fel.
A háromnapos rendezvényt egyébként toronymagasan a Synacktiv nyerte a másik négy csapat előtt, és összesen 530 ezer dollár, nagyjából 190 millió forint pénzjutalom ütötte a markukat.
