JVNDB-2016-001955
|
BlueDriver LSB2 に認証なしで Bluetooth アクセスが可能な問題
|
|
Lemur Vehicle Monitors の BlueDriver LSB2 は、OBD2 ポートに接続して車両の性能に関する情報を提供するデバイスです。BlueDriver LSB2 は Bluetooth によるアクセスに PIN を必要としないため、Bluetooth の無線範囲内にいる誰もが車両の CAN (Controller Area Network) バスに任意のコマンドを送信することが可能です。
重要な機能に対する認証の欠如 (CWE-306) - CVE-2016-2354
CERT/CC は、BlueDriver LSB2 へ Bluetooth でアクセスする際に PIN が必要ないことを確認しました。この問題により、Bluetooth の無線範囲内にいる誰もが、当該車両の標準的な OBD2 診断情報である燃費やトラブルコード、速度、排気量の情報などを取得することが可能です。また、攻撃者は CAN (Controller Area Network) バスに対して、任意のコマンドを送信することが可能です。車両によっては、攻撃者がステアリングやブレーキなどに影響を与える可能性があります。
CWE-306: Missing Authentication for Critical Function
http://cwe.mitre.org/data/definitions/306.html
なお、National Vulnerability Database (NVD) では、CWE-284 として公開されています。
CWE-284: Improper Access Control
http://cwe.mitre.org/data/definitions/284.html
|
|
CVSS v3 による深刻度
基本値: 8.8 (重要) [NVD値]
- 攻撃元区分: 隣接
- 攻撃条件の複雑さ: 低
- 攻撃に必要な特権レベル: 不要
- 利用者の関与: 不要
- 影響の想定範囲: 変更なし
- 機密性への影響(C): 高
- 完全性への影響(I): 高
- 可用性への影響(A): 高
CVSS v2 による深刻度
基本値: 8.0 (危険) [NVD値]
- 攻撃元区分: 隣接
- 攻撃条件の複雑さ: 低
- 攻撃前の認証要否: 不要
- 機密性への影響(C): 部分的
- 完全性への影響(I): 全面的
- 可用性への影響(A): 全面的
|
|
|
Lemur Vehicle Monitors
|
|
|
攻撃は Bluetooth の無線範囲内から行う必要がありますが、車両内の携帯電話などを経由して攻撃することが可能です。車種やモデルによって、情報漏えいから命を脅かす危険まで様々な影響が想定されます。
|
|
開発者は CERT/CC に対し、次のように述べています：
"BlueDriver scan tool users can update their sensor Firmware (F/W) by opening their BlueDriver App and tapping ‘More’ > ‘Update Sensor F/W’ > 'Check for Updates' and following the instructions.
The latest F/W for BlueDriver limits Bluetooth discoverability to 1 minute after plug in. This added feature limits discovering (and then pairing) to your BlueDriver to those who first plug in the sensor.
BlueDriver Scan Tool のユーザは、アプリを開き、 "More" > "Update Sensor F/W" > "Check for Updates" の順にタップして手順に従うことで機器のファームウェアをアップデートすることが可能です。
最新版ファームウェアでは、Bluetooth の検出が車両への機器接続から 1分間に制限されます。この機能の追加により、BlueDriver を検出 (およびペアリング) できるのは、車両に機器を接続した人物のみに制限されます。"
開発者の述べる内容を明確にすると、ファームウェアのアップデートによって、Bluetooth の検出は車両の動作中ずっとではなく、車両に機器を接続した時点のみ有効になるよう制限されるとのことです。
|
|
Lemur Vehicle Monitors
|
|
- その他(CWE-Other) [IPA評価]
- その他(CWE-Other) [NVD評価]
|
|
- CVE-2016-2354
|
|
- JVN : JVNVU#92749596
- National Vulnerability Database (NVD) : CVE-2016-2354
- US-CERT Vulnerability Note : VU#615456
|
|
- [2016年04月11日]
掲載
[2016年04月13日]
タイトル：内容を更新
[2016年05月30日]
対策：内容を更新
ベンダ情報：Lemur Vehicle Monitors (BlueDriver OBD2 App - Twitter (13:46 - 2016年4月11日)) を追加
[2016年05月31日]
CVSS による深刻度：内容を更新
CWE による脆弱性タイプ一覧：CWE-ID を追加
参考情報：National Vulnerability Database (NVD) (CVE-2016-2354) を追加
|
