WORLDTECHForscher übernehmen vernetzte Autos über fehlerhafte Android-Backends
Sicherheitsforscher sagen, sie hätten Schwachstellen in Android-Anwendungen ausgenutzt, um vernetzte Fahrzeuge zweier großer Automobilhersteller aus der Ferne zu steuern. Die Darstellung, zuerst von The Register berichtet und von SC Media weitergegeben, beschreibt die Kontrolle über Motorstart, Scheinwerfer und Hupe.
Angriffe auf Fahrzeuge in Australien und den USA
Laut dem Bericht fanden Shubham Shah und Sam Curry Angriffswege, mit denen sie Motoren einschalten, Scheinwerfer aufblinken lassen und Hupen auslösen konnten, und zwar bei Fahrzeugen in Australien und den Vereinigten Staaten.
Im australischen Fall nutzten die Forscher Fahrzeug-Identifikationsnummern und in der Software hinterlegte Administratorzugangsdaten, um Web-Application-Firewalls zu umgehen. Anschließend erzeugten sie Authentifizierungs-Token, die ihnen erlaubten, Befehle abzusetzen.
Ein aufwendigerer Weg über Identitätsserver
Ein zweiter Angriff verlief komplizierter. Er nutzte eine Pfadverwechslung, um eine Apache-Felix-Konsole zu erreichen, und verschaffte sich über Standardzugangsdaten Shell-Zugriff auf Identitätsserver.
Die Schwachstellen erlaubten es den Forschern laut dem Bericht, Nutzerkontodaten zu verändern und Fahrzeugfunktionen zu übernehmen.
Meldung an die Hersteller und ungenannte Namen
Die Forscher sagen, sie hätten die Ergebnisse Anfang 2026 den betroffenen Unternehmen gemeldet, Korrekturen seien binnen zwei Stunden eingespielt worden. Der Bericht nennt die Hersteller nicht.
Branchenbeobachter vermuten, dass es sich um Modelle von Toyota und Lexus handelt, dies ist jedoch nicht bestätigt.
Offene Fragen
- Welche zwei Automobilhersteller betroffen sind, da sie ungenannt bleiben?
- Wurde bestätigt, dass die Korrekturen alle beschriebenen Angriffswege schließen?