WORLDTECH网络安全 单一来源
研究人员通过存在缺陷的安卓应用后端劫持联网汽车
由 WORLDTECH 译自英文。事实、数字、名称和来源均与英文原文一致。 English
安全研究人员称，他们利用安卓应用中的弱点，远程控制了两家主要汽车制造商的联网车辆。该报道首先由The Register刊发，并由SC Media转载，描述了对引擎启动、前大灯和喇叭的控制。
对澳大利亚和美国车辆的攻击
据报告，Shubham Shah与Sam Curry找到了若干攻击路径，可以在澳大利亚和美国的车辆上启动引擎、闪烁前大灯并激活喇叭。
在澳大利亚的案例中，研究人员利用软件中嵌入的车辆识别码和管理员凭证绕过了Web应用防火墙，随后生成身份验证令牌，从而得以下达指令。
通过身份服务器的更复杂路径
第二种攻击的路径更为复杂。攻击者利用路径混淆访问了Apache Felix控制台，随后使用默认凭证在身份服务器上获得了shell访问权限。
报告称，这些弱点使研究人员得以更改用户账户数据，并接管车辆功能。
披露与未具名的制造商
研究人员称，他们于2026年初向相关公司报告了这些发现，修复措施在两小时内部署完毕。报告未点名制造商。
业内观察人士推测，涉事车辆为Toyota与Lexus车型，但这一点尚未得到证实。
待解问题
- 在两家汽车制造商仍未具名的情况下，究竟是哪两家受到影响？
- 修复措施是否已经过验证，能够彻底封堵报告中描述的所有攻击路径？