CVE-2022-26269

يُستخدم تطبيق Suzuki connect للحصول على معلومات السيارة مثل الوقود وحالة الإشعال والموقع الحالي وحالة ربط حزام الأمان وغيرها. في سيارة Ignis من الفئة Zeta، إذا تم تزوير رسائل CAN للوقود وحالة ربط حزام الأمان عبر منفذ OBD 2 بقيمة مزيّفة (مثل نسبة وقود صفر٪ وحزام أمان مربوط)، فستنعكس القيمة نفسها في تطبيق Suzuki connect، مما قد يضلل المستخدم.

المنتج المتأثر: Suzuki Connect app version 1.0.15 Car Ignis Zeta variant, Manufacturing year 2019

تفاصيل إضافية على رابط Suzuki connect: https://www.marutisuzuki.com/corporate/technology/suzuki-connect

تقرير مفصل

الإعداد المطلوب:

1. Ignis Zeta variant ( Make 2019 )، تأكد من أن السيارة متصلة بالإنترنت
2. جهاز Suzuki connect مع إصدار التطبيق 1.0.15
3. USB to CAN Hardware ( منفذ OBD 2 )
4. برنامج لاستقبال وإرسال رسائل CAN

يجب اتباع الخطوات التالية لتحقيق إثبات المفهوم (POC):

1. تشغيل محرك السيارة
2. توصيل OBD 2 بموصل USB
3. يجب ألا يكون الوقود فارغًا
4. حزام أمان السائق غير مربوط.
5. التحقق من أن تطبيق Suzuki connect يظهر حالة الوقود والحزام.
6. الآن أرسل الرسالة التالية كل 10 مللي ثانية

• Fuel status 0% : Identifier - 3B9, Length - 6, Data - 00 00 00 00 00 00
• Seat Belt status : Buckled: Identifier - 3D1, Length - 8, Data - 00 00 00 00 00 81 94 9B

7. انتظر بضع دقائق وتحقق من تطبيق Suzuki connect: يجب أن تظهر حالة الحزام على أنها مربوط، وتكون حالة الوقود صفرًا، وسيظهر تنبيه انخفاض الوقود في التطبيق.

ملاحظة إضافية: لم يتم إجراء تحليل إضافي، ولكن يمكن تزوير رسائل متعددة عبر منفذ OBD 2 التقدير: Nikhil Bogam