研究者が自動車用Bluetoothシステムの重大な脆弱性を特定

サイバーセキュリティの研究者たちは、世界中の数百万台の車両において、リモート攻撃者がコードを実行できる可能性のある、広く使用されている自動車用Bluetoothシステムに4つの重大なセキュリティ脆弱性を特定しました。

これらの脆弱性は、PCA Cyber SecurityによってPerfektBlueと名付けられており、OpenSynergyのBlueSDK Bluetoothスタックに影響します。これは組み込みシステムでBluetooth機能を実装するために使用されており、自動車用途に強く重点が置かれています。これらの脆弱性は、メルセデス・ベンツ、フォルクスワーゲン、シュコダの自動車で使用されている技術に影響を与えます。研究者が公表していない4番目のメーカーも、影響を受ける技術を使用していることが確認されています。

この発見は、Bluetooth対応のインフォテインメントシステムが標準装備となっている現代のコネクテッドカーにおける攻撃対象領域の拡大を浮き彫りにしています。研究者たちは、4つの脆弱性がエクスプロイトチェーンとして連結可能であり、攻撃者がBluetooth接続を通じて車両システムへの不正アクセスを得る可能性があることを発見しました。

攻撃には、攻撃者がターゲット車両のBluetooth圏内に入り、そのインフォテインメントシステムとペアリングに成功する必要があります。ペアリングプロセスは、各メーカーがBlueSDKフレームワークをどのように実装しているかによって異なり、ユーザーの操作が必要なシステムもあれば、そうでないものもあります。

特定された脆弱性には、AVRCPサービスにおける重大なUse-After-Freeの欠陥（CVE-2024-45434、CVSSスコア8.0）や、L2CAPおよびRFCOMMプロトコルにおける不適切な検証や誤った関数処理に関連する3つの追加の欠陥が含まれます。

PCA Cyber Securityは、影響を受ける各メーカーの特定のインフォテインメントユニットでのエクスプロイトの成功を実証しました。これには、メルセデス・ベンツのNTG6システム、フォルクスワーゲンの電気自動車.IDモデルで使用されているMEB ICAS3ユニット、シュコダのSuperbモデルに搭載されているMIB3システムが含まれます。

この発見は、自動車のサイバーセキュリティの複雑さ、特に車両ネットワーク内でのラテラルムーブメント（横移動）の可能性に関する課題を浮き彫りにしています。インフォテインメントシステムはしばしば重要な車両制御とある程度分離されて設計されていますが、その有効性は各メーカーのネットワークアーキテクチャやセキュリティプロトコルに依存します。

インフォテインメントシステムのエクスプロイトに成功すると、理論的には攻撃者がGPS追跡、音声録音機能、連絡先情報などにアクセスできる可能性があります。研究者たちはまた、ネットワークセグメンテーションが弱い場合、追加の脆弱性や各車両のアーキテクチャによっては、攻撃者が他の車両システムにアクセスできる可能性もあると指摘しています。

研究者たちは2024年5月に最初にOpenSynergyへ調査結果を報告しました。同社は脆弱性を認め、パッチを開発し、2024年9月に顧客へ配布しました。しかし、自動車のサプライチェーンの複雑さから、パッチの配布には課題が生じています。一部の自動車メーカーは、最初の開示からほぼ1年後の2025年6月時点でも必要なアップデートを受け取っていませんでした。この遅延により、研究者たちは4番目のメーカーの名前を伏せたまま公表に踏み切りました。

研究者たちは実際の車両ハードウェア上で概念実証デモを行い、ターゲットシステム上でリモートコマンド実行を可能にするリバースシェルアクセスを取得しました。これらのデモは2020年から2023年の特定のファームウェアバージョンで実施されましたが、研究者たちはより古いバージョンや新しいバージョンも脆弱である可能性があると示唆しています。

脆弱性に関するさらなる技術情報はPCAのウェブサイトで確認できます。