CVE-2025-70994: Schwache Authentifizierung im Elektrofahrrad Yadea T5

[!WARNING] Dieses Repository dient ausschließlich Bildungs- und akademischen Sicherheits- forschungszwecken. Die hier bereitgestellten Informationen und der Proof-of-Concept-Code sollen einen bekannten kryptografischen Fehler (CWE-1390) demonstrieren, um Fahrzeugbesitzern und Herstellern zu helfen, die physische Sicherheit zu verstehen und zu verbessern.

Der Autor billigt, fördert oder unterstützt keinen unbefugten Zugriff auf Fahrzeuge oder illegale Aktivitäten. Der Proof-of-Concept-Code ist strikt ein passiver Signalanalysator und enthält keine Sende- oder Exploit-Fähigkeiten. Benutzer sind allein dafür verantwortlich, alle geltenden lokalen, regionalen und bundesstaatlichen Gesetze einzuhalten. Das unbefugte Abfangen von HF-Signalen kann in Ihrer Rechtsordnung illegal sein.

---

Zusammenfassung

In dem schlüssellosen Zugangssystem des Elektrofahrrads Yadea T5 (Modelle, die ab 2024 hergestellt wurden) wurde eine Sicherheitslücke mit hohem Risiko identifiziert. Das System verwendet das EV1527-Festcode-Funkprotokoll im 433,92-MHz-ISM-Band, ohne Rollcodes oder kryptografische Challenge-Response-Mechanismen zu implementieren.

Eine umfassende akademische Analyse dieser Schwachstelle finden Sie in der veröffentlichten Forschungsarbeit.

Da die 20-Bit-Fahrzeugadresse statisch und von der Befehlsautorisierung entkoppelt ist, kann ein Angreifer in der Nähe einen nicht sensiblen Befehl (z. B. das Läuten der Fahrzeugklingel) abfangen und einen hochsensiblen Befehl (z. B. „Start/Zündung“) mathematisch synthetisieren. Dies ermöglicht einen vollständigen unbefugten Fahrzeugbetrieb durch einen Replay-Angriff.

---

Technische Aufschlüsselung

Protokollarchitektur (EV1527)

Das System verwendet einen EV1527-kompatiblen HF-Encoder. Jede Übertragung besteht aus einer 24-Bit-Datennutzlast, die über On-Off-Keying (OOK) mit Pulsweitenmodulation übertragen wird.

Frame-Struktur:

1. Sync-Puls: Dauer ca. 11,2 ms (1 High-, 31 Low-Perioden)
2. 24-Bit-Nutzlast:
   • [Bits 23-4] Adresse/ID: Eine feste 20-Bit-Kennung, die für die jeweilige Fernbedienung eindeutig ist.
   • [Bits 3-0] Befehl: Eine 4-Bit-Anweisung (z. B. Verriegeln, Entriegeln, Start, Klingel).

Der Authentifizierungsfehler

Die Kernschwachstelle beruht auf dem Fehlen sequenzieller Zähler (Rollcodes). Der Empfänger des Fahrzeugs authentifiziert Befehle ausschließlich durch die Überprüfung der 20-Bit-Adresse.

Da sich diese Adresse nie ändert, legt das Erfassen eines beliebigen legitimen Signals den statischen Schlüssel offen. Ein Angreifer kann das Signal aufzeichnen, die 20-Bit-ID extrahieren, den standardisierten Hex-Code für „Start“ (0x2) anhängen und den synthetisierten 24-Bit-Frame senden. Das Fahrzeug akzeptiert den gefälschten Befehl als legitim.

Standard-Befehlszuordnungen:

---

Abhilfe & Gegenmaßnahmen

Für Fahrzeugbesitzer

Das elektronische Schloss ist durch diesen Protokollfehler grundlegend kompromittiert. Besitzern der Yadea T5 wird dringend empfohlen:

1. Das elektronische Schlüssellose Zugangssystem für Sicherheitszwecke zu ignorieren.
2. Robuste physische Verriegelungsmechanismen (z. B. Bügelschlösser, gehärtete Ketten) zu verwenden, die an unbeweglichen Gegenständen verankert sind.
3. Die mechanische Lenkradsperre zu nutzen.

Für Hersteller

1. Die Verwendung von EV1527, PT2262 und verwandten Festcode-ICs für sicherheitskritische Anwendungen einstellen.
2. Zu kryptografischen Rollcode-Implementierungen (z. B. AES-128, KeeLoq) übergehen.

---

Proof of Concept: Signalanalysator

Das bereitgestellte poc_analyzer.cpp ist ein abgespecktes Arduino-Skript, das für den ESP8266 und den CC1101-Transceiver entwickelt wurde. Es demonstriert die Schwachstelle, indem es passiv das 433,92-MHz-Band abhört, den EV1527-Synchronisationspuls identifiziert und den 24-Bit-Frame in Klartext dekodiert, wodurch die statische Fahrzeug-ID effektiv offengelegt wird.

Hardware-Anforderungen:

• ESP8266 (NodeMCU/Wemos D1)
• CC1101-HF-Transceiver-Modul (SPI-Schnittstelle)

---

Offenlegungszeitplan

Am 31. Dezember 2025 wurde ein standardmäßiges 90-Tage-Fenster für verantwortungsvolle Offenlegung eingeleitet. Nachdem der Hersteller keine substanzielle Behebung vornahm, wurde die Koordinierung mit dem US-Heimatschutzministerium (CISA) aufgenommen. Die Embargofrist wurde schließlich bis zum 23. April 2026 verlängert, um eine synchronisierte behördliche Sicherheitswarnung zu ermöglichen.

Klicken Sie, um das vollständige Kommunikationsprotokoll zu erweitern

• 2025-12-31: SICHERHEITSLÜCKE: Kritischer Authentifizierungsfehler im schlüssellosen Zugangssystem der Yadea T5 gesendet an [email protected].
• 2026-01-08: AW: SICHERHEITSLÜCKE: Kritischer Authentifizierungsfehler in der Yadea T5 (Nachfass) gesendet an [email protected] und [email protected].
• 2026-02-24: Re: SICHERHEITSLÜCKE: Kritischer Authentifizierungsfehler im schlüssellosen Zugangssystem der Yadea T5, CVE-2025-70994 zugewiesen, gesendet an [email protected] und [email protected].
• 2026-02-26: Kontakt zu Yadea-Mitarbeiter 01 aufgenommen (über LinkedIn).
• 2026-02-26: Kontakt zu Yadea-Mitarbeiter 02 aufgenommen (über LinkedIn).
• 2026-03-01: Kontakt zur Yadea-LinkedIn-Unternehmensseite aufgenommen.
• 2026-03-02: DRINGEND: Eskalation der koordinierten Offenlegung - Elektrofahrrad Yadea T5 (CVE-2025-70994) / 紧急：协调漏洞披露升级 - 雅迪 T5 电动自行车 (CVE-2025-70994) gesendet an [email protected].
• 2026-03-02: Kontaktaufnahme mit dem SEI - Ashen, Chathuranga - 03/01/26 über https://www.sei.cmu.edu/contact-us/.
• 2026-03-02: Kontakt zur Abans Group Sri Lanka aufgenommen (über LinkedIn).
• 2026-03-02: Kontakt zu Abans Auto - Yadea aufgenommen (über LinkedIn).

---

Referenzen

• Forschungsarbeit: Ausnutzung von Festcode-Funkprotokollen in der Mikromobilität (CVE-2025-70994)
• CISA-ICS-Hinweis: ICSA-26-113-01
• CWE-1390: Schwache Authentifizierung
• EV1527-Datenblatt
• CVSS-v3.1-Rechner
• CVE-2025-70994 bei MITRE

---

Autor

Ashen Chathuranga — Forscher