Neopravené bezpečnostní chyby GPS Trackeru ohrožují 1,5 milionu vozidel

Podle nového výzkumu lze bezpečnostní zranitelnosti v populárním čínském GPS sledovači vozidel snadno zneužít ke sledování a vzdálenému vypnutí motorů nejméně milionu vozidel po celém světě. Společnost, která GPS trackery vyrábí, se však nijak nesnažila je opravit.

Vyplývá to z výzkumu kybernetické bezpečnostní firmy BitSight, která uvedla, že zařízení MiCODUS MV720 má zranitelnosti jak v zařízení, tak v back-endové službě. Ty otevírají cestu pro útoky typu man-in-the-middle (MitM), obcházení autentizace a sledování polohy. Mezi chyby zabezpečení patří pevně zakódované heslo zařízení, které umožňuje přístup prostřednictvím požadavků SMS, a výchozí heslo na serveru API.

Šest zranitelností v zařízení MV720, které dnes používá více než 1,5 milionu GPS trackerů u více než 420 000 zákazníků po celém světě, včetně společností s vozovými parky, orgány činné v trestním řízení, armády a národní vlády, lze snadno i na dálku zneužít ke sledování jakéhokoli vozidla v reálném čase, přístupu k minulým trasám a vypnutí motorů vozidel v pohybu. Všechny zranitelnosti až na jednu jsou hodnoceny jako „vysoké“ nebo vyšší. Některé z chyb jsou v samotném GPS trackeru, zatímco jiné jsou ve webovém panelu, který zákazníci používají ke sledování svých vozových parků.

Vzhledem k závažnosti chyb a tomu, že neexistují žádné opravy, BitSight i CISA, americká vládní poradenská agentura pro kybernetickou bezpečnost, varovaly majitele vozidel, aby zařízení co nejdříve odstranili, aby se zmírnilo riziko.

GPS trackery MiCODUS používají podniky a jednotlivci ve 169 zemích:

Výzkum také zjistil, že GPS tracker je dodáván s výchozím heslem „123456“, což umožňuje komukoli přístup k GPS trackerům, kteří si nezměnili heslo svého zařízení. Dle firmy BitSight bylo 95 % ze vzorku 1 000 testovaných zařízení přístupných s nezměněným výchozím heslem.

BitSight kontaktoval MiCODUS už v září loňského roku, firma ale nepřinesla řešení a vyhýbá se komunikaci.

Dokud lidé nezačnou porovnávat přístroje nejen podle ceny, ale i podle bezpečnosti a kvality, budou IoT přístroje tikat jako bomby.

https://www.root.cz/clanky/postrehy-z-bezpecnosti-zranitelnosti-v-lokalizacnich-zarizenich/

https://www.darkreading.com/iot/unpatched-gps-tracker-security-bugs-disruption

https://www.securityweek.com/unpatched-micodus-gps-tracker-vulnerabilities-allow-hackers-remotely-disable-cars