知名GPS 跟踪器通过 SMS 为黑客提供管理员权限

作者:安数网络 发布时间:2022-07-21 09:23:16 浏览次数:938

漏洞研究人员在 GPS 跟踪器中发现了安全问题,该跟踪器被宣传为存在于 169 个国家/地区的约 150 万辆汽车中。

共有六个漏洞影响 MiCODUS MV720 设备,该设备存在于多家财富 50 强公司、欧洲政府、美国各州、南美军事机构和核电站运营商使用的车辆中。

此次发现MV720设备存在共有6个漏洞,侵入该设备的黑客可以利用它来追踪甚至定位使用该设备的车辆,也可以通过该设备收集有关路线的信息,并操纵数据。考虑到该设备的许多用户存在军政背景,黑客的攻击很有可能会影响国家安全。

漏洞详情

虽然不是所有BitSight发现的六个漏洞都获得了识别号,但各个漏洞的具体细节如下:

CVE-2022-2107:API服务器上的硬编码主密码,允许未经认证的远程攻击者获得对任何MV720追踪器的完全控制,执行切断燃料行动,追踪用户,并解除警报。(严重程度得分:9.8)

没有指定的CVE:所有MV720追踪器上的默认密码(123456)都很弱,没有强制规则要求用户在初始设备设置后进行更改。(严重程度高分:8.1)

CVE-2022-2199反映在主网络服务器上的跨站脚本(XSS),允许攻击者访问用户账户,与应用程序互动,并查看该用户可访问的所有信息。(严重程度高分: 7.5)

CVE-2022-34150: 主网络服务器上不安全的直接对象引用,允许登录的用户访问服务器数据库中任何设备ID的数据。(严重程度高分: 7.1)

CVE-2022-33944: 主网络服务器上不安全的直接对象引用,允许未经认证的用户生成关于GPS跟踪器活动的Excel报告。(中等严重程度评分:6.5)

BitSight已经为获得识别号的五个缺陷开发了概念验证(PoCs)代码,并展示了它们如何在野外被利用。

披露和修复

BitSight在2021年9月9日发现了这些关键缺陷,并试图立即提醒MiCODUS,但遇到了困难,找不到合适的人接受安全报告。

2021年10月1日再次联系了GPS追踪器的中国供应商,但供应商拒绝提供安全或工程联系人。随后在11月试图联系该供应商,但没有得到回应。

最后,在2022年1月14日,BitSight与美国国土安全部分享了其发现的所有技术细节,并要求他们与该供应商接触。

目前,MiCODUS MV720 GPS追踪器仍然容易受到上述缺陷的影响,而且供应商还没有提供修复方案。因此,BitSight建议在修复方案出台前,使用MiCODUS MV720 GPS追踪器的用户应该立即禁用这些设备,并使用其他的GPS追踪器进行替代。继续使用MiCODUS MV720 GPS追踪器将是一个极端的安全风险,尤其是在这些漏洞被公开披露之后。


及时掌握网络安全态势 尽在傻蛋网络安全监测系统

【网络安全监管部门】免费试用

本文来源:互联网

如涉及侵权,请及时与我们联系,我们会在第一时间删除或处理侵权内容。
电话:400-869-9193 负责人:张明