CVE-2022-26269

La aplicación Suzuki Connect se utiliza para obtener información del automóvil como combustible, estado de encendido, ubicación actual, estado del cinturón de seguridad, etc. En el automóvil Ignis, variante Zeta, si los mensajes CAN de combustible y el estado del cinturón de seguridad son falsificados (spoofed) a través del puerto OBD 2 con el valor manipulado (por ejemplo, cero por ciento de combustible y cinturón de seguridad abrochado), el mismo valor se refleja en la aplicación Suzuki Connect, lo que puede engañar al usuario.

Producto afectado: Aplicación Suzuki Connect versión 1.0.15 Automóvil Ignis variante Zeta, año de fabricación 2019

Detalles adicionales sobre la URL de Suzuki Connect: https://www.marutisuzuki.com/corporate/technology/suzuki-connect

Informe detallado

Configuración requerida:

1. Variante Ignis Zeta (año 2019), asegúrese de que el automóvil esté en una zona con conexión a Internet
2. Dispositivo Suzuki Connect con la versión de aplicación 1.0.15
3. Hardware USB a CAN (puerto OBD 2)
4. Software para recibir y transmitir mensajes CAN

Se deben seguir los siguientes pasos para lograr el POC:

1. Encienda el motor del automóvil
2. Conecte el conector OBD 2 a USB
3. El combustible del automóvil no debe estar vacío
4. Los cinturones de seguridad del conductor no están abrochados.
5. Verifique que la aplicación Suzuki Connect muestre el estado de combustible y de cinturón
6. Ahora transmita el siguiente mensaje cada 10 msec

• Fuel status 0% : Identifier - 3B9, Length - 6, Data - 00 00 00 00 00 00
• Seat Belt status : Buckled: Identifier - 3D1, Length - 8, Data - 00 00 00 00 00 81 94 9B

7. Espere unos minutos y verifique en la aplicación Suzuki Connect que el estado del cinturón muestra "abrochado" y el estado de combustible debe ser cero, y se mostrará una alerta de nivel bajo de combustible en la aplicación Suzuki Connect.

Nota adicional: No se realizó un análisis adicional, pero se pueden falsificar múltiples mensajes en el puerto OBD 2 Créditos : Nikhil Bogam