พบช่องโหว่บนรถฮุนได ที่สั่งล็อกประตูได้จากระยะไกล

นักวิจัยด้านความปลอดภัยค้นพบช่องโหว่บนรถ Hyundai และ Genesis ที่เปิดช่องให้แฮ็กเกอร์ควบคุมการทำงานรถจากระยะไกล เช่น ตัวล็อกประตู และเครื่องยนต์ เป็นต้น กระทบกับรถที่จำหน่ายตั้งแต่ปี 2012 เป็นช่องโหว่ของแอพบนอุปกรณ์พกพาของเจ้าของตัวรถที่รักษาความปลอดภัยข้อมูลไม่เพียงพอ

โดยนักล่าค่าหัวบั๊ก Sam Curry กล่าวในทวิตเตอร์ พบว่าตัวเรียก API สำหรับควบคุมตัวล็อก, แตร, เครื่องยนต์, ไฟหน้า, และกระบะหลังท้ายรถนั้นถูกเจาะง่ายมาก สามารถโดนแกะโปรแกรมให้เข้าถึงฟังก์ชั่นเหล่านี้จากระยะไกลได้ พร้อมทั้งอธิบายกระบวนการแบบละเอียด

บนแอพที่มีช่องโหว่นั้น ฟังก์ชั่นการล็อกและปลดล็อกรถใช้การรักษาความปลอดภัยด้วยโทเค่น JSON ผ่านเว็บที่สร้างขึ้นจากบัญชีอีเมลที่เชื่อมต่อไว้ ตรวจกับคำร้องขอ HTTP ที่ส่งมาจากแอพร่วมกับข้อมูลเลขประจำตัวรถหรือ Vehicle Identification Number (VIN)

แต่ทว่า ตัว Regular Expression (Regex) ที่ใช้กรองข้อความจากอีเมลว่าถูกต้องหรือไม่นั้น เปิดให้ใส่อักขระพิเศษได้ อย่างเช่นการใส่ตัวอักขระแบบ CRLF ต่อท้ายที่อยู่เมลที่มีบนระบบ ก็จะปล่อยให้ส่งคำร้องขอ HTTP ไปยังเอนด์พอยต์ที่มีรายการ VIN ให้เรียกดูได้

อ่านเพิ่มเติมที่นี่ – ITPro