Bir güvenlik araştırmacısı, Tesla araçlarından veri toplamak için kullanılan üçüncü taraf bir yazılım olan TeslaLogger’da, TeslaLogger örneklerine yetkisiz erişim elde etmek için kullanılabilecek güvenli olmayan varsayılan ayarlardan yararlanan bir güvenlik açığı tespit etti.
Bu güvenlik açığının Tesla araçlarında veya Tesla’nın altyapısında yer almadığının dikkate alınması önemli olduğundan, riski azaltmak için adımlar atan TeslaLogger yöneticisine sorun bildirildi.
Tesla arabaları için açık kaynaklı bir veri kaydedici olan TeslaLogger’da ilginç otomotiv projeleri araştırılırken güvenlik açıkları tespit edildi.
Araştırmacı, Docker’ı kullanarak dizüstü bilgisayara yükledikten sonra, MariaDB veritabanında (bağlantı noktası 3306), Graphana görselleştirme aracında (bağlantı noktası 3000) ve bir yönetici panelinde (bağlantı noktası 8888) çalışan hizmetleri tanımlamak için nmap’i kullandı.
MariaDB ve Graphana’nın ilgisini çekerek, proje deposunda bulunan varsayılan kimlik bilgilerini kullanarak veritabanına bağlanmak için DBweaver’dan yararlandı ve Tesla araba API anahtarını çıkarma umuduyla, ‘arabalar’ tablosundan tüm verileri almak için bir SQL sorgusu yürüttü.
Erişim belirteçleri ve yenileme belirteçleri de dahil olmak üzere tehlikeye atılmış Tesla belirteçleri, saldırganlara bir araba üzerinde tam uzaktan kontrol sağladığından, Tesla API’sini kullanan Tesla entegrasyonlarında bir güvenlik açığı bulunmaktadır.
Tesla’nın API’si Rol Tabanlı Erişim Kontrolü’nü (RBAC) kullanırken, Tesla günlükçü uygulamaları sıklıkla aşırı izinler talep ederek saldırganların arabanın durumunu değiştirmek için (örneğin, sürücü ekleme, kapıların kilidini açma, iklimi kontrol etme) API anahtarını kullanmasına olanak tanır.
Free On-Demand Webinar to Secure the Top 3 SME Attack Vectors: Watch for Free
API anahtarlarını elde etmek için alternatif yöntemler mevcut olduğundan, veritabanı kullanıma sunulmasa bile bu sorun devam eder. Raspberry Pi cihazlarındaki bazı Tesla kaydedici uygulamaları, API anahtarını ihmalkar bir şekilde açığa çıkararak sorunu daha da kötüleştiriyor.
Harish SG Tesla API belirteçlerine erişime izin veren, varsayılan kimlik bilgilerine sahip, savunmasız bir Grafana kontrol paneli keşfetti. Tesla veri kaydı için kullanılan üçüncü taraf bir yazılım olan TeslaLogger, kimlik bilgilerinin düz metin halinde saklanması ve güvenli olmayan varsayılan yapılandırmalar nedeniyle savunmasızdı.
Bu zayıflıklardan yararlanarak, uzaktan saldırılara açık 30’dan fazla TeslaLogger örneğini belirlediler, potansiyel olarak Tesla araçlarının kontrolünü sağladılar ve iletişim bilgilerini keşfettikten sonra bulguları sorumlu bir şekilde TeslaLogger geliştiricisine bildirdiler.
Tesla arabalarına yönelik üçüncü taraf bir yazılım olan TeslaLogger’da, saldırganların TeslaLogger veritabanını tehlikeye atmaları durumunda Tesla API kimlik bilgilerini çalmalarına olanak verebilecek bir güvenlik açığı açıklandı.
Geçmişte Tesla’dan aldıkları yardımcı olmayan bir yanıt nedeniyle sorunu doğrudan Tesla’ya bildirmediğinden, veritabanındaki API kimlik bilgilerinin şifrelenmesini ve yönetici bölmesine kimlik doğrulamanın eklenmesini içeren sorunu düzeltmek için TeslaLogger yöneticisiyle birlikte çalıştı. başka bir üçüncü taraf yazılımıyla benzer bir sorunla ilgili.
ANYRUN malware sandbox’s 8th Birthday Special Offer: Grab 6 Months of Free Service