CVE-2022-26269

Приложение Suzuki Connect используется для получения информации об автомобиле, такой как уровень топлива, статус зажигания, текущее местоположение, статус ремня безопасности и т. д. В автомобиле Ignis варианта Zeta, если сообщения CAN о топливе и статус ремня безопасности подделаны через порт OBD 2 с заданным значением (например, нулевой уровень топлива и пристегнутое сиденье), то это же значение отображается в приложении Suzuki Connect, что может ввести пользователя в заблуждение.

Затронутый продукт: Приложение Suzuki Connect версии 1.0.15 Автомобиль Ignis Zeta вариант, год выпуска 2019

Дополнительные сведения по URL Suzuki Connect: https://www.marutisuzuki.com/corporate/technology/suzuki-connect

Подробный отчет

Требуемая настройка:

1. Автомобиль Ignis Zeta вариант (2019 года выпуска), убедитесь, что автомобиль находится в зоне интернет-подключения.
2. Устройство Suzuki Connect с версией приложения 1.0.15
3. USB-адаптер для CAN (порт OBD 2)
4. Программное обеспечение для приема и передачи CAN-сообщений

Для достижения POC необходимо выполнить следующие шаги:

1. Запустите двигатель автомобиля
2. Подключите OBD 2 к USB-разъему
3. Уровень топлива в автомобиле не должен быть нулевым
4. Ремни безопасности водителя не пристегнуты.
5. Проверьте, что приложение Suzuki Connect показывает статус топлива и ремня безопасности
6. Теперь передавайте следующее сообщение каждые 10 мс

• Статус топлива 0% : Identifier - 3B9, Length - 6, Data - 00 00 00 00 00 00
• Статус ремня безопасности : Пристегнут: Identifier - 3D1, Length - 8, Data - 00 00 00 00 00 81 94 9B

7. Подождите несколько минут и проверьте в приложении Suzuki Connect, что статус ремня показывает «пристегнут», а уровень топлива должен быть нулевым, и в приложении Suzuki Connect отобразится предупреждение о низком уровне топлива.

Дополнительное примечание: дальнейший анализ не проводился, но на порту OBD 2 можно подделать несколько сообщений. Автор : Nikhil Bogam