CVE-2022-26269

L'app Suzuki connect viene utilizzata per ottenere informazioni sull'auto come carburante, stato di accensione, posizione attuale, stato della cintura di sicurezza, ecc. Nell'auto Ignis, variante Zeta, se i messaggi CAN del carburante e lo stato della cintura di sicurezza vengono spoofati tramite la porta OBD 2 con il valore manipolato (ad es. carburante allo zero percento e sedile con cintura allacciata), lo stesso valore viene rispecchiato nell'app Suzuki connect, che può trarre in inganno l'utente.

Prodotto interessato: App Suzuki Connect versione 1.0.15 Auto Ignis variante Zeta, anno di produzione 2019

Dettagli aggiuntivi sull'URL di Suzuki connect: https://www.marutisuzuki.com/corporate/technology/suzuki-connect

Rapporto dettagliato

Configurazione richiesta:

1. Variante Ignis Zeta (anno 2019), assicurarsi che l'auto si trovi in una zona con connessione Internet
2. Dispositivo Suzuki connect con app versione 1.0.15
3. Hardware USB-CAN (porta OBD 2)
4. Software per ricevere e trasmettere messaggi CAN

Per realizzare la POC, seguire i seguenti passaggi:

1. Avviare il motore dell'auto
2. Collegare il connettore OBD 2 alla porta USB
3. Il carburante dell'auto non deve essere vuoto
4. Le cinture di sicurezza del conducente non sono allacciate.
5. Verificare che l'app Suzuki connect mostri lo stato del carburante e della cintura
6. Ora trasmettere i seguenti messaggi ogni 10 ms

• Stato carburante 0% : Identifier - 3B9, Length - 6, Data - 00 00 00 00 00 00
• Stato cintura di sicurezza : Allacciata: Identifier - 3D1, Length - 8, Data - 00 00 00 00 00 81 94 9B

7. Attendere qualche minuto e controllare nell'app suzuki connect che lo stato della cintura mostri allacciata e che lo stato del carburante sia zero; verrà visualizzato un avviso di carburante basso nell'app suzuki connect.

Nota aggiuntiva: Non è stata condotta un'analisi approfondita, ma è possibile spoofare più messaggi sulla porta OBD 2 Crediti : Nikhil Bogam