Am 29. April 2025 gab Oligo Security eine Schwachstelle für Pufferüberlauf in Apple CarPlay bekannt, die als CVE-2025-24132 identifiziert wurde. Die Sicherheitsanfälligkeit hat einen CVSS -Wert von 6,5 (mittel) und ermöglicht den unbefugten Zugriff auf Carplay -Systeme, häufig ohne Interaktion oder Authentifizierung von Benutzern.
Wie die Carplay -Verwundbarkeit funktioniert
Ein Angreifer kann ausnutzen CVE-2025-24132 zu kontrollieren und Apple CarPlay System über eine USB -Verbindung, das Internet oder „einfach funktioniert“ Bluetooth -Paarung. Die Methode „Just Works“ ist ein wesentliches Problem, da Geräte ohne Einschränkung eine Verbindung herstellen können und eine Öffnung für unbefugten Zugriff erzeugen. Das Exploit zielt auf das IAP2 -Protokoll von Apple ab, das die Verbindung zwischen einem mobilen Gerät und dem IVI -System (Infotainment) eines Fahrzeugs verwaltet. Das Protokoll authentifiziert nur das IVI -System, nicht das externe Gerät, das sich darauf verbindet. Diese Einwegauthentifizierung ermöglicht es einem Angreifer, sich als iPhone auszugeben, ein Abfang-Netzwerk-Anmeldeinformationen zu haben und die Kontrolle über das Netzwerk des Fahrzeugs zu übernehmen, um Befehle auszugeben.
Uri Katz, ein Oligo-Sicherheitsforscher, bemerkte: „Wir haben keine genauen Prozentsätze, da sie je nach Anbieter und Modell variiert. Unsere Tests haben jedoch festgestellt, dass eine erhebliche Anzahl von Systemen auf nur Bluetooth-Paaren beruht, und viele ältere und dritte Kopfeinheiten verwenden Standardeinheiten oder vorhersehbare Wi-Fi-Passwörter.“
Obwohl die technischen Details begrenzt sind, schlägt das Sicherheits -Update von Apple ab April 2025 vor, dass sich das Problem auf die App -Kündigung bezieht. Die Sicherheitsanfälligkeit befindet sich im Airplay Software Development Kit (SDK) und ermöglicht die Remote -Code -Ausführung (RCE) mit Root -Berechtigungen.
Potenzielle Risiken für Fahrer
Das Erhalten von Wurzelebene RCE gibt einem Angreifer eine umfassende Kontrolle über das Infotainment-System. Dieser Zugang kann es ihnen ermöglichen, den Standort eines Fahrers auszuspionieren, Gespräche zu belauschen oder den Fahrer zu stören, während das Fahrzeug in Betrieb ist. Die Forschung von Oligo Security bestätigte nicht, ob sich dieser Zugang auf die sicherheitskritischen Systeme eines Fahrzeugs erstrecken könnte.
Langsame Branchenreaktion lässt Systeme anfällig
Apple veröffentlichte am 31. März 2025 einen Patch für CVE-2025-24132 und koordinierte die öffentliche Offenlegung mit Oligo Security für den 29. April 2025. Obwohl der Patch verfügbar war, war die Einführung der Automobilindustrie langsam. Mitte September 2025, viereinhalb Monate nach der Veröffentlichung der Fix, haben nur wenige Anbieter umgesetzt. Insbesondere haben keine Automobilhersteller ihre Systeme aktualisiert und viele Fahrzeuge der Verwundbarkeit ausgesetzt.
Herausforderungen in Automobilsoftware -Updates
Die langsame Patch -Bereitstellung wird durch verschiedene Faktoren in der Automobilindustrie verursacht, einschließlich mangelnder Standardisierung, langsamer Aktualisierungszyklen und der Notwendigkeit manueller Installationen bei einem Händler.
„Im Gegensatz zu Telefonen, die über Nacht aktualisiert werden, müssen viele In -Vehicle -Systeme nach wie vor manuelle Installationen von Benutzern oder Händlerbesuchen erfordern“, erklärte Katz. „Selbst wenn Apple die Patched SDK versendet hat, müssen die Autohersteller sie über ihre Plattformen anpassen, testen und validieren, um eine Koordination mit Lieferanten und Middleware -Anbietern zu erfordern.“
Um die Sicherheit zu verbessern, empfiehlt Oligo Security eine umfassendere Einführung von OTA-Update-Pipelines und besserer Koordination in der gesamten Lieferkette. Katz fügte hinzu, dass „die Technologie existiert, aber die organisatorische Ausrichtung nicht eingeholt hat“. Die Straffung dieser Prozesse ist erforderlich, um Sicherheitspatches schneller bereitzustellen.
