Hackers kwijlen terwijl Californië traceerbare digitale kentekenplaten uitrolt

Beveiligingsonderzoekers waren in staat om "super administratieve toegang" te krijgen tot Reviver, de enige aanbieder van de digitale kentekenplaten van Californië, en de GPS-locatie te volgen van alle voertuigen waaraan ze zijn gekoppeld.

Een team van beveiligingsonderzoekers heeft met succes "volledige superbeheerderstoegang" verkregen, waardoor ze een hele reeks taken konden uitvoeren met betrekking tot de gebruikersaccounts en voertuigen van het bedrijf, volgens een blogpost van onderzoeker Sam Curry.

Nadat hij toegang had verkregen, kon een hacker de fysieke GPS-locatie van alle kentekenplaten van Reviver-klanten volgen, en de slogan of gepersonaliseerde boodschap onderaan de platen wijzigen in willekeurige tekst.

De gepersonaliseerde berichten op de kentekenplaten bevatten een functie waarmee klanten het onderste gedeelte van hun kentekenplaten digitaal kunnen bijwerken om verschillende berichten weer te geven, zoals "Go Team!" of 'op zoek naar een spoor'.

Bovendien kan een hacker de status van elk voertuig bijwerken naar "GESTOLEN", wat de autoriteiten zou waarschuwen.

"Een echte aanvaller kan op afstand iemands REVIVER-plaat bijwerken, volgen of verwijderen", schreef Curry in zijn blogpost, onthullend dat hij en zijn team beveiligingsproblemen hadden gevonden in de hele auto-industrie, niet alleen bij Reviver.

Een hacker kon ook toegang krijgen tot alle gebruikersrecords, inclusief welke voertuigen mensen bezaten, hun fysieke adres, telefoonnummer en e-mailadres, evenals toegang tot de wagenparkbeheerfunctionaliteit voor elk bedrijf, en alle voertuigen in een wagenpark lokaliseren en beheren, merkte Curry op. .

"We kunnen alle normale API-oproepen aannemen (voertuiglocatie bekijken, kentekenplaten bijwerken, nieuwe gebruikers toevoegen aan accounts) en de actie uitvoeren met behulp van ons superbeheerdersaccount met volledige autorisatie", legt Curry uit.

"We konden bovendien toegang krijgen tot elke dealer (bijvoorbeeld Mercedes-Benz-dealers verpakken vaak REVIVER-kentekenplaten) en de standaardafbeelding bijwerken die door de dealer werd gebruikt wanneer het nieuw gekochte voertuig nog DEALER-tags had," voegde hij eraan toe. Reviver reageerde op de onthullingen en vertelde Vice's Motherboard dat het sindsdien de door de onderzoekers ontdekte problemen heeft gepatcht.

“We zijn trots op de snelle reactie van ons team, dat onze applicatie binnen 24 uur heeft gepatcht en verdere maatregelen heeft genomen om dit in de toekomst te voorkomen. Ons onderzoek heeft bevestigd dat er geen misbruik is gemaakt van deze potentiële kwetsbaarheid.”

Lees hier het hele verhaal ...