马自达CMU车机系统曝高危安全漏洞，黑客可远程操控车辆

近日，安全公司趋势科技发布了一项令人担忧的发现：日本汽车制造商马自达旗下的多款车型所使用的CMU车机系统(Connect Connectivity Master Unit)存在多项高危漏洞，这些漏洞可能允许黑客远程执行代码，进而威胁驾驶人的安全。

据了解，这些漏洞主要影响2014年至2021年款的Mazda 3等车型，涉及系统版本为74.00.324A的车机。黑客只需先控制受害者的手机，然后趁受害者将手机作为USB设备连接到CMU车机系统时，利用相关漏洞以root权限运行任意代码。这些代码可以导致车联服务被阻断、勒索软件被安装、车机系统瘫痪，甚至直接危及驾驶安全。

趋势科技详细列举了以下几项关键漏洞：

CVE-2024-8355：DeviceManager中的iAP序列号SQL注入漏洞。黑客可以通过连接苹果设备进行SQL注入，以root权限修改数据库，读取或执行任意代码。

CVE-2024-8359、CVE-2024-8360和CVE-2024-8358：这些漏洞允许攻击者在CMU的更新模块中注入任意指令，从而实现远程代码执行。

CVE-2024-8357：SoC验证漏洞，由于SoC未对启动代码进行验证，黑客能够悄悄修改根文件系统，安装后门，甚至执行任意代码。

CVE-2024-8356：影响独立模块VIP MCU的漏洞。黑客可通过篡改更新文件，将恶意镜像文件写入VIP MCU，进一步入侵汽车CAN/LIN控制网络，威胁车辆整体安全。

研究人员指出，这些漏洞的利用门槛相对较低。黑客只需在FAT32格式的USB硬盘上创建文件，并命名为“.up”后缀，即可被CMU识别为更新文件，从而执行多种恶意指令。结合上述漏洞，黑客可以通过恶意MCU固件实现对车载网络的控制，直接影响车辆的运行和安全。

值得注意的是，马自达汽车的MZD信息娱乐系统在过去也曾被发现存在类似的安全问题。早在2014年5月，Mazda 3 Revolution论坛的用户就已经发现了MZD信息娱乐系统中的一些已知漏洞。这些漏洞使得车主可以通过将U盘插入仪表板进行黑客入侵，定制汽车的信息娱乐系统、调整设置或安装应用程序。其中，MZD-AIO-TI(MZD整合调整安装包)是车主们常用的工具之一。

Bugcrowd的APP安全工程师Jay Turla甚至搭建了一个名为mazda_getInfo的系统，该系统可以让整个黑客入侵过程自动化。Turla的mazda_getInfo项目在GitHub上开放，用户只需在他们的U盘上复制一组脚本，将其插入汽车的仪表板，即可在MZDConnect固件之上执行恶意代码。Turla在测试期间尝试过执行一些简单的攻击，如在汽车仪表盘上显示文本或显示终端命令。

尽管Mazda已经发布了一些固件更新来修复这些漏洞，但仍有大量车辆尚未更新到最新版本，因此仍然面临被攻击的风险。安全研究员Aris Adamantiadis在Twitter上指出，汽车多媒体单元(CMU)充满了远程执行程序漏洞，如果汽车连接到WiFi，攻击者就可以通过网络DBUS对CAN总线进行(只读)访问，从而执行未经授权的代码。

面对这些严重的安全漏洞，马自达公司需要尽快采取措施，发布补丁或更新来修复这些漏洞，并提醒车主及时更新车机系统，以确保车辆的安全性。同时，车主也应提高安全意识，避免将手机或其他设备连接到未知或不可信的CMU车机系统，以防止被黑客利用漏洞进行攻击。