24 falle zero-day sulle auto elettriche scoperti in una gara tra hacker

In occasione del concorso Pwn2Own Automotive 2024, gli hacker sono riusciti a violare con successo un modem Tesla e hanno guadagnato premi per un totale di $ 722.500. Questo risultato è stato ottenuto attraverso la scoperta e l'exploit di tre bug di sicurezza e 24 vulnerabilità zero-day.

Il team Synacktiv ha ricevuto $100.000 per aver concatenato con successo tre bug zero-day, ottenendo così i permessi di root su un modem Tesla. Inoltre, utilizzando due catene di bug, hanno hackerato con successo una stazione di veicoli elettrici Ubiquiti Connect e una stazione di ricarica per veicoli elettrici JuiceBox 40 Smart, guadagnando ulteriori $120.000.

Una terza catena di exploit mirata al caricabatterie per veicoli elettrici ChargePoint Home Flex ha portato loro altri $16.000, portando il totale dei premi a $295.000 durante il primo giorno del concorso.

Il team EDG di NCC Group ha conquistato il secondo posto, ottenendo $70.000 per gli zero-day sfruttati per hackerare il sistema di infotainment Pioneer DMH-WT7600NEX e il caricabatterie per veicoli elettrici Phoenix Contact CHARX SEC-3100, nonostante fossero completamente patchati.

Il concorso di hacking Pwn2Own Automotive 2024 si svolge a Tokyo, in Giappone, durante la conferenza automobilistica Automotive World tra il 24 e il 26 gennaio. Durante l'evento, i ricercatori si sono concentrati per lo più su sistemi come quelli di infotainment di bordo Tesla, caricabatterie per veicoli elettrici e sistemi operativi per auto come Automotive Grade Linux, BlackBerry QNX e Android Automotive OS.