CVE-2022-26269

O aplicativo Suzuki connect é usado para obter informações do carro como combustível, status de ignição, localização atual, status do cinto de segurança, etc. No carro Ignis, variante Zeta, se as mensagens CAN de combustível e o status do cinto de segurança forem falsificados através da porta OBD 2 com o valor manipulado (por exemplo, zero por cento de combustível e cinto do carro afivelado), então o mesmo valor é refletido no aplicativo Suzuki connect, o que pode enganar o usuário.

Produto Afetado: Aplicativo Suzuki Connect versão 1.0.15 Carro Ignis variante Zeta, ano de fabricação 2019

Detalhes adicionais no URL do Suzuki connect: https://www.marutisuzuki.com/corporate/technology/suzuki-connect

Relatório detalhado

Configuração necessária:

1. Variante Ignis Zeta (Fabricação 2019), Certifique-se de que o carro está em zona de conexão à internet
2. Dispositivo Suzuki connect com aplicativo versão 1.0.15
3. Hardware USB para CAN ( porta OBD 2 )
4. Software para receber e transmitir mensagem CAN

Os seguintes passos devem ser seguidos para realizar o POC:

1. Ligue o motor do carro
2. Conecte o OBD 2 ao conector USB
3. O combustível do carro não deve estar vazio
4. Os cintos de segurança do motorista não estão afivelados.
5. Verifique se o aplicativo Suzuki connect mostra o status do combustível e do cinto de segurança
6. Agora transmita a seguinte mensagem a cada 10 ms

• Status do combustível 0% : Identifier - 3B9, Length - 6, Data - 00 00 00 00 00 00
• Status do cinto de segurança : Afivelado: Identifier - 3D1, Length - 8, Data - 00 00 00 00 00 81 94 9B

7. Aguarde alguns minutos e verifique no aplicativo suzuki connect que o status do assento mostra afivelado e o status do combustível deve ser zero, e o alerta de combustível baixo será exibido no aplicativo suzuki connect.

Nota adicional: Não foi realizada análise adicional, mas múltiplas mensagens podem ser falsificadas na porta OBD 2 Créditos : Nikhil Bogam