關(guān)鍵詞

芯片漏洞

現(xiàn)代車輛的互聯(lián)特性日益突出，使其成為搭載精密物聯(lián)網(wǎng)技術(shù)的移動(dòng)終端。雖然這種數(shù)字化演進(jìn)提升了駕駛體驗(yàn)，但也帶來了嚴(yán)重的安全隱患。

遠(yuǎn)程劫持汽車儀表盤運(yùn)行《毀滅戰(zhàn)士》等電子游戲的假設(shè)場(chǎng)景，如今已成為令人不安的現(xiàn)實(shí)。該漏洞源于汽車中控單元采用的系統(tǒng)級(jí)芯片（SoC）技術(shù)，特別是那些整合應(yīng)用處理器與通信處理器來管理車輛功能的方案。

芯片級(jí)安全缺陷

問題的核心在于紫光展銳UIS7862A系統(tǒng)級(jí)芯片，該組件廣泛應(yīng)用于現(xiàn)代車輛中控單元。該芯片集成了負(fù)責(zé)3G/4G/5G通信的調(diào)制解調(diào)器，攻擊者可利用調(diào)制解調(diào)器漏洞實(shí)現(xiàn)初始入侵。一旦突破防線，攻擊者就能橫向移動(dòng)到應(yīng)用處理器，最終完全控制儀表盤操作系統(tǒng)并竊取用戶數(shù)據(jù)。

Securelist安全分析師發(fā)現(xiàn)該調(diào)制解調(diào)器在3G RLC協(xié)議實(shí)現(xiàn)中存在關(guān)鍵缺陷。通過固件分析，他們發(fā)現(xiàn)數(shù)據(jù)包分片處理機(jī)制缺乏足夠的邊界檢查。這一疏漏使攻擊者能在安全通道建立前，遠(yuǎn)程在調(diào)制解調(diào)器處理器上執(zhí)行任意代碼，從而繞過標(biāo)準(zhǔn)蜂窩網(wǎng)絡(luò)安全措施。該發(fā)現(xiàn)凸顯了汽車供應(yīng)鏈中"黑盒"組件的脆弱性。

基于棧的緩沖區(qū)溢出漏洞

該漏洞的技術(shù)根源在于解析服務(wù)數(shù)據(jù)單元（SDU）的函數(shù)存在棧緩沖區(qū)溢出。協(xié)議允許數(shù)據(jù)包包含無限數(shù)量的可選頭部（通過特定位值標(biāo)識(shí)），解析算法會(huì)順序處理這些頭部并將數(shù)據(jù)寫入棧變量。然而棧深度嚴(yán)格限制為0xB4字節(jié)，而惡意數(shù)據(jù)包大小可達(dá)0x5F0字節(jié)。

攻擊者只需發(fā)送包含足夠頭部的畸形數(shù)據(jù)包即可觸發(fā)溢出。由于該函數(shù)缺乏棧金絲雀保護(hù)機(jī)制，溢出會(huì)覆蓋返回地址。

研究人員采用面向返回編程（ROP）技術(shù)繞過不可執(zhí)行棧限制，構(gòu)建的ROP鏈將執(zhí)行流重定向至AT+SPSERVICETYPE命令處理程序，從而實(shí)現(xiàn)數(shù)據(jù)向RAM的傳輸。

// 漏洞解析邏輯偽代碼
void process_sdu_headers(packet_data *sdu) {
    uint16_t header_stack[0x5A]; // 0xB4字節(jié)緩沖區(qū)
    while (sdu->has_more_headers) {
       // 未檢查邊界即寫入緩沖區(qū)
       header_stack[index++] = read_next_header(); 
    }
}

通過利用該內(nèi)存破壞漏洞，攻擊者成功執(zhí)行了自定義代碼——他們通過修改內(nèi)存保護(hù)單元表獲取寫入權(quán)限，最終攻陷Android內(nèi)核并在車載中控單元上運(yùn)行任意應(yīng)用。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！