CVE-2022-26269

Die Suzuki-Connect-App wird verwendet, um Fahrzeuginformationen wie Kraftstoff, Zündstatus, aktuellen Standort, Sitzgurtstatus usw. abzurufen. Beim Fahrzeug Ignis Zeta-Variante können die Kraftstoff-CAN-Nachrichten und der Sitzgurtstatus über den OBD-2-Port mit manipulierten Werten gefälscht werden (z. B. null Prozent Kraftstoff und der Sitzgurt ist geschlossen). Derselbe Wert wird dann in der Suzuki-Connect-App angezeigt, was den Benutzer in die Irre führen kann.

Betroffenes Produkt: Suzuki-Connect-App Version 1.0.15 Fahrzeug Ignis Zeta-Variante, Baujahr 2019

Weitere Details zur Suzuki-Connect-URL: https://www.marutisuzuki.com/corporate/technology/suzuki-connect

Detaillierter Bericht

Erforderliche Einrichtung:

1. Ignis Zeta-Variante (Baujahr 2019), sicherstellen, dass sich das Fahrzeug in einer Internetverbindungszone befindet
2. Suzuki-Connect-Gerät mit App-Version 1.0.15
3. USB-zu-CAN-Hardware (OBD-2-Port)
4. Software zum Empfangen und Senden von CAN-Nachrichten

Die folgenden Schritte sind auszuführen, um den POC zu erreichen:

1. Fahrzeugmotor einschalten
2. OBD-2-USB-Stecker anschließen
3. Der Kraftstofftank des Fahrzeugs sollte nicht leer sein
4. Der Sicherheitsgurt des Fahrers ist nicht angelegt.
5. Prüfen, ob die Suzuki-Connect-App den Kraftstoff- und Gurtstatus anzeigt
6. Nun folgende Nachricht alle 10 ms übertragen

• Kraftstoffstatus 0 %: Identifier - 3B9, Length - 6, Data - 00 00 00 00 00 00
• Sicherheitsgurtstatus: Angelegt: Identifier - 3D1, Length - 8, Data - 00 00 00 00 00 81 94 9B

7. Einige Minuten warten und in der Suzuki-Connect-App prüfen, ob der Gurtstatus „angelegt“ anzeigt, der Kraftstoffstatus null ist und eine Kraftstoffmangel-Warnung in der Suzuki-Connect-App angezeigt wird.

Zusätzlicher Hinweis: Es wurden keine weiteren Analysen durchgeführt, aber über den OBD-2-Port können mehrere Nachrichten gefälscht werden. Danksagung: Nikhil Bogam