セキュリティ研究者が、一部のルノー車に搭載されているTomTom製ナビゲーションユニット「Carminat LIVE」で、悪意あるSDカードを使えば攻撃者がroot権限でコードを実行できることを示しました。
Rasmus Moorats氏は2026年11月2日に調査結果を公開しました。きっかけは、所有する2014年式ルノー・ラティチュードの時計を直したいという単純な動機でした。CVE IDやベンダーによるパッチは、現時点で報告されていません。s
Carminat LIVEユニット（コードネーム「beaumont」）は、Samsung S5P6440チップを採用しています。OSはTomTom独自のもので、Linuxをベースとするバージョン2.6.28.10です。
このユニットは起動のたびに、SDカードからmaster.scriptというスクリプトを読み込みます。実行するには、ユーザーが「Execute master.script?」という確認画面で「Yes」を押す必要があります。スクリプトはメニュー操作を自動化する独自言語で記述されており、これを解析するttnプログラムはroot権限で動作します。
研究者は、このパーサーに2つの弱点を見つけました。
当初は、どちらの欠陥も役に立ちそうには見えませんでした。ルートファイルシステムは読み取り専用で、SDカードを含むほぼすべてのパーティションがnoexecでマウントされていたためです。この設定は、該当パーティション上でのプログラム実行を禁止します。
研究者は、Linuxカーネルのエクスプロイトで使われる手法を応用して、この制限を回避しました。LOGの欠陥を利用して、プログラムのクラッシュ時の動作を制御する/proc/sys/kernel/core_patternに書き込みを行い、値を|/bin/sh /media/sdcard/payload.shに設定しました。
続いてSHEXコマンドで/bin/dbus-monitorを起動します。このプログラムはシステムバスが見つからないとクラッシュするため、カーネルが攻撃者のスクリプトをroot権限で実行する仕組みです。
最初の概念実証（PoC）では、ユニットを再起動させるだけでしたが、これによりroot権限でのコード実行が確認できました。その後、研究者はこのアクセス権を使い、ddで内蔵eMMCストレージをバックアップしました。さらにsettings.datファイルを編集し、タイムゾーンをUTC+2に変更したと、nns氏は述べています。
この攻撃には車への物理的なアクセスに加え、ユーザーがスクリプト実行の確認画面を承認することが必要です。ただし、ユニットのほかの防御機構では、この攻撃を防げませんでした。
地図カードのDRMはカードごとに固有のCIDと署名付きファイルを利用しており、ファームウェア更新にも署名検証が行われているようです。研究者は
1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を削減しています。チームで試してみる
翻訳元: https://cyberpress.org/renault-tomtom-root-vulnerability/
