【車(chē)訊網(wǎng) 報(bào)道】　漏洞概要 

 

　　缺陷編號(hào)： WooYun-2015-104734

　　漏洞標(biāo)題： 比亞迪智能汽車(chē)可被黑客完全控制（汽車(chē)云安全隱患）

　　相關(guān)廠商： bydauto.com.cn

　　漏洞作者： 路人甲

　　提交時(shí)間： 2015-03-30 14:24

　　公開(kāi)時(shí)間： 2015-05-15 12:24

　　漏洞類(lèi)型： 設(shè)計(jì)缺陷/邏輯錯(cuò)誤

　　危害等級(jí)： 高

　　自評(píng)Rank： 18

　　漏洞狀態(tài)： 廠商已經(jīng)確認(rèn)

　　漏洞來(lái)源： http://www.wooyun.org

　漏洞詳情

　　披露狀態(tài)：

　　2015-03-30： 細(xì)節(jié)已通知廠商并且等待廠商處理中

　　2015-03-31： 廠商已經(jīng)確認(rèn)，細(xì)節(jié)僅向廠商公開(kāi)

　　2015-04-10： 細(xì)節(jié)向核心白帽子及相關(guān)領(lǐng)域?qū)＜夜_(kāi)

　　2015-04-20： 細(xì)節(jié)向普通白帽子公開(kāi)

　　2015-04-30： 細(xì)節(jié)向?qū)嵙?xí)白帽子公開(kāi)

　　2015-05-15： 細(xì)節(jié)向公眾公開(kāi)

　　簡(jiǎn)要描述：

　　比亞迪車(chē)主借助比亞迪云服務(wù)，使用手機(jī)APP可以對(duì)車(chē)輛進(jìn)行遠(yuǎn)程解鎖、開(kāi)空調(diào)、定位、查看油料/電量/胎壓等操作。

　　云服務(wù)介紹：http://auto.163.com/14/0422/07/9QDTLA0B00084K7M_2.html

　　APP下載地址：http://apk.gfan.com/Product/App236636.html

　　由于云服務(wù)存在嚴(yán)重安全漏洞，黑客可以編寫(xiě)程序獲取任意車(chē)主的信息（姓名、車(chē)牌號(hào)、車(chē)架號(hào)、身份證號(hào)、第二聯(lián)系人姓名、手機(jī)號(hào)等）和控制密碼。

　　詳細(xì)說(shuō)明：

　　云服務(wù)頁(yè)面http://i.byd.com.cn，需要車(chē)主輸入手機(jī)號(hào)和密碼（買(mǎi)車(chē)時(shí)在4S店設(shè)置）

　　用戶(hù)輸入手機(jī)號(hào)，瀏覽器發(fā)送ajax請(qǐng)求判斷手機(jī)號(hào)是否存在，如果不存在，返回空

　　如果手機(jī)號(hào)存在，則返回車(chē)主信息（姓名、車(chē)牌號(hào)、車(chē)架號(hào)、身份證號(hào)、第二聯(lián)系人姓名、手機(jī)號(hào)等）

　　利用此漏洞，可以編寫(xiě)程序遍歷手機(jī)號(hào)段（例如深圳）來(lái)獲得車(chē)主信息和控制密碼。

　　漏洞證明：

　　黑客程序示例

　　修復(fù)方案：

　　不知道開(kāi)發(fā)人員怎么設(shè)計(jì)的...

　　版權(quán)聲明：轉(zhuǎn)載請(qǐng)注明來(lái)源 路人甲@烏云

　漏洞回應(yīng)

　　廠商回應(yīng)：

　　危害等級(jí)：高

　　漏洞Rank：15

　　確認(rèn)時(shí)間：2015-03-31 12:23

　　廠商回復(fù)：

　　為了提升用戶(hù)體驗(yàn)，比亞迪云服務(wù)系統(tǒng)平臺(tái)已進(jìn)行了更新，網(wǎng)頁(yè)和腳本進(jìn)行了進(jìn)一步優(yōu)化，使用更加完善的數(shù)據(jù)交互策略及用戶(hù)隱私保護(hù)。用戶(hù)的隱私、數(shù)據(jù)及手機(jī)App正常使用不會(huì)受到任何影響，敬請(qǐng)各位用戶(hù)放心使用。

　　比亞迪對(duì)這類(lèi)問(wèn)題相當(dāng)重視，非常感謝洞主的測(cè)試和敬業(yè)精神，也感謝大家對(duì)比亞迪的寬容和關(guān)心，相信經(jīng)歷過(guò)磨練的中國(guó)品牌會(huì)更加強(qiáng)大。

　　漏洞評(píng)價(jià)：

　　對(duì)本漏洞信息進(jìn)行評(píng)價(jià)，以更好的反饋信息的價(jià)值，包括信息客觀性，內(nèi)容是否完整以及是否具備學(xué)習(xí)價(jià)值