CVE-2025-70994: याडिया T5 इलेक्ट्रिक साइकिल में दुर्बल प्रमाणीकरण

[!WARNING] यह रिपॉज़िटरी विशेष रूप से शैक्षिक और अकादमिक सुरक्षा अनुसंधान उद्देश्यों के लिए प्रकाशित की गई है। यहाँ दी गई जानकारी और प्रूफ-ऑफ-कॉन्सेप्ट कोड का उद्देश्य एक ज्ञात क्रिप्टोग्राफिक दोष (CWE-1390) को प्रदर्शित करना है, ताकि वाहन मालिकों और निर्माताओं को भौतिक सुरक्षा समझने और सुधारने में सहायता मिल सके।

लेखक वाहनों तक अनधिकृत पहुंच या किसी भी अवैध गतिविधि का समर्थन, प्रोत्साहन या अनुमोदन नहीं करता है। प्रूफ-ऑफ-कॉन्सेप्ट कोड पूर्णतः एक निष्क्रिय सिग्नल विश्लेषक है और इसमें कोई ट्रांसमिशन या शोषण क्षमता नहीं है। उपयोगकर्ता सभी लागू स्थानीय, राज्य और संघीय कानूनों का पालन करने के लिए पूर्णतः जिम्मेदार हैं। RF सिग्नलों का अनधिकृत अवरोधन आपके क्षेत्राधिकार में अवैध हो सकता है।

---

कार्यकारी सारांश

याडिया T5 इलेक्ट्रिक साइकिल (2024 या उसके बाद निर्मित मॉडल) की कीलेस एंट्री प्रणाली में एक उच्च-जोखिम वाली सुरक्षा भेद्यता की पहचान की गई है। यह प्रणाली 433.92 MHz ISM बैंड पर EV1527 फिक्स्ड-कोड RF प्रोटोकॉल का उपयोग करती है, बिना रोलिंग कोड या क्रिप्टोग्राफिक चैलेंज-रेस्पॉन्स तंत्र लागू किए।

इस भेद्यता के व्यापक शैक्षणिक विश्लेषण के लिए, कृपया प्रकाशित शोध पत्र देखें।

चूँकि 20-बिट वाहन पता स्थिर है और कमांड प्राधिकरण से वियुक्त है, निकट स्थित एक हमलावर एक गैर-संवेदनशील कमांड (जैसे, वाहन की घंटी बजाना) को इंटरसेप्ट कर सकता है और गणितीय रूप से एक उच्च-संवेदनशीलता कमांड (जैसे, "स्टार्ट/इग्निशन") का संश्लेषण कर सकता है। यह रीप्ले अटैक के माध्यम से पूर्ण अनधिकृत वाहन संचालन की अनुमति देता है।

---

तकनीकी विवरण

प्रोटोकॉल आर्किटेक्चर (EV1527)

यह प्रणाली एक EV1527-संगत RF एन्कोडर पर निर्भर करती है। प्रत्येक ट्रांसमिशन में 24-बिट डेटा पेलोड होता है, जिसे ऑन-ऑफ कीइंग (OOK) पल्स चौड़ाई मॉड्यूलेशन के माध्यम से प्रेषित किया जाता है।

फ्रेम संरचना:

1. सिंक पल्स: ~11.2ms अवधि (1 हाई, 31 लो पीरियड)
2. 24-बिट पेलोड:
   • [Bits 23-4] पता/आईडी: विशिष्ट रिमोट के लिए अद्वितीय एक निश्चित 20-बिट पहचानकर्ता।
   • [Bits 3-0] कमांड: एक 4-बिट निर्देश (जैसे, लॉक, अनलॉक, स्टार्ट, बेल)।

प्रमाणीकरण दोष

मूल भेद्यता अनुक्रमिक काउंटरों (रोलिंग कोड) की अनुपस्थिति से उत्पन्न होती है। वाहन का रिसीवर कमांड को केवल 20-बिट पते को सत्यापित करके प्रमाणित करता है।

चूँकि यह पता कभी नहीं बदलता, किसी भी वैध सिग्नल को कैप्चर करने से स्थिर कुंजी उजागर हो जाती है। एक हमलावर सिग्नल को रिकॉर्ड कर सकता है, 20-बिट आईडी निकाल सकता है, "स्टार्ट" के लिए मानकीकृत हेक्स कोड (0x2) जोड़ सकता है, और संश्लेषित 24-बिट फ्रेम प्रसारित कर सकता है। वाहन जाली कमांड को वैध मानकर स्वीकार कर लेगा।

मानक कमांड मैपिंग:

---

शमन और निवारक उपाय

वाहन मालिकों के लिए

इलेक्ट्रॉनिक लॉक इस प्रोटोकॉल दोष के कारण मौलिक रूप से समझौताग्रस्त है। याडिया T5 के मालिकों को दृढ़ता से सलाह दी जाती है कि:

1. सुरक्षा उद्देश्यों के लिए इलेक्ट्रॉनिक कीलेस एंट्री प्रणाली पर भरोसा न करें।
2. अचल वस्तुओं से जुड़े हेवी-ड्यूटी भौतिक लॉकिंग तंत्र (जैसे, U-लॉक, मज़बूत चेन) का उपयोग करें।
3. मैकेनिकल स्टीयरिंग लॉक का उपयोग करें।

निर्माताओं के लिए

1. सुरक्षा-महत्वपूर्ण अनुप्रयोगों के लिए EV1527, PT2262 और संबंधित फिक्स्ड-कोड IC के उपयोग को बंद करें।
2. क्रिप्टोग्राफिक रोलिंग-कोड कार्यान्वयन (जैसे, AES-128, KeeLoq) की ओर स्थानांतरित हों।

---

प्रूफ ऑफ कॉन्सेप्ट: सिग्नल विश्लेषक

प्रदान की गई poc_analyzer.cpp एक सरलीकृत Arduino स्क्रिप्ट है, जो ESP8266 और CC1101 ट्रांसीवर के लिए डिज़ाइन की गई है। यह 433.92 MHz बैंड को निष्क्रिय रूप से सुनकर, EV1527 सिंक पल्स की पहचान करके और 24-बिट फ्रेम को प्लेनटेक्स्ट में डिकोड करके भेद्यता को प्रदर्शित करती है, जिससे स्थिर वाहन आईडी प्रभावी रूप से उजागर होती है।

हार्डवेयर आवश्यकताएँ:

• ESP8266 (NodeMCU/Wemos D1)
• CC1101 RF ट्रांसीवर मॉड्यूल (SPI इंटरफ़ेस)

---

प्रकटीकरण समयरेखा

31 दिसंबर, 2025 को एक मानक 90-दिवसीय जिम्मेदार प्रकटीकरण अवधि शुरू की गई थी। विक्रेता की ओर से पर्याप्त सुधार के अभाव के बाद, अमेरिकी होमलैंड सिक्योरिटी विभाग (CISA) के साथ समन्वय स्थापित किया गया। एक संयोजित संघीय सुरक्षा सलाह की अनुमति देने हेतु एम्बार्गो को अंततः 23 अप्रैल, 2026 तक बढ़ाया गया।

पूरा संचार लॉग देखने के लिए क्लिक करें

• 2025-12-31: SECURITY VULNERABILITY: Critical Authentication Flaw in Yadea T5 Keyless Entry System [email protected] को भेजा गया।
• 2026-01-08: RE: SECURITY VULNERABILITY: Critical Authentication Flaw in Yadea T5 (Follow-up) [email protected] और [email protected] को भेजा गया।
• 2026-02-24: Re: SECURITY VULNERABILITY: Critical Authentication Flaw in Yadea T5 Keyless Entry System, CVE-2025-70994 Assigned [email protected] और [email protected] को भेजा गया।
• 2026-02-26: LinkedIn के माध्यम से याडिया कर्मचारी 01 से संपर्क किया गया।
• 2026-02-26: LinkedIn के माध्यम से याडिया कर्मचारी 02 से संपर्क किया गया।
• 2026-03-01: याडिया LinkedIn व्यवसाय पृष्ठ से संपर्क किया गया।
• 2026-03-02: URGENT: Coordinated Disclosure Escalation - Yadea T5 Electric Bicycle (CVE-2025-70994) / 紧急：协调漏洞披露升级 - 雅迪 T5 电动自行车 (CVE-2025-70994) [email protected] को भेजा गया।
• 2026-03-02: https://www.sei.cmu.edu/contact-us/ के माध्यम से SEI - Ashen, Chathuranga - 03/01/26 से संपर्क किया गया।
• 2026-03-02: LinkedIn के माध्यम से Abans Group श्रीलंका से संपर्क किया गया।
• 2026-03-02: LinkedIn के माध्यम से Abans Auto - Yadea से संपर्क किया गया।
• 2026-03-03: VINCE को VRF#26-03-NVVXM जमा करने के लिए धन्यवाद ()।

---

संदर्भ

• Research Paper: Exploiting Fixed-Code RF Protocols in MicroMobility (CVE-2025-70994)
• CISA ICS Advisory: ICSA-26-113-01
• CWE-1390: Weak Authentication
• EV1527 Datasheet
• CVSS v3.1 Calculator
• CVE-2025-70994 on MITRE

---

लेखक

Ashen Chathuranga — शोधकर्ता