Хакеры научились удалённо управлять бортовыми компьютерами 471 тысячи автомобилей Chrysler

Хакеры взломали бортовые компьютеры 471 тысячи автомобилей Chrysler

Хакеры Чарли Миллер (Charlie Miller) и Крис Валасек (Chris Valasek) обнаружили уязвимость в бортовом компьютере автомобилей Chrysler, позволяющую на расстоянии перехватить управление машиной. Как утверждают Миллер и Валасек, более 471 тысячи автомобилей производства Chrysler подвержены опасной уязвимости «прямо с завода».

В ближайшие несколько недель они намерены опубликовать информацию о проблеме в открытом доступе. Об этом сообщает Wired, передает tjournal.ru.

В качестве доказательства своей находки профессиональные взломщики устроили эксперимент с редактором Wired Энди Гринбергом (Andy Greenberg). Журналист отправился на Jeep Cherokee по дороге неподалёку от Сент-Луиса, проверив опасность уязвимости на себе.

Для взлома Миллер и Валасек использовали систему Uconnect, которая подключена к сотовой сети и способна управлять почти всеми модулями автомобиля. Сначала хакеры получили доступ к музыкальному центру и дворникам, после чего саботировали тормоза, рулевое управление и переключение скоростей.

Пока два хакера удалённо игрались с кондиционером, радио и дворниками, я мысленно хвалил себя за мужество под таким давлением. В этот момент они переключили скорость.

Пока я отчаянно давил на педаль и наблюдал за тем, как подскочили обороты, Jeep потерял примерно половину скорости, а затем начал двигаться подобно улитке.

Энди Гринберг, редактор Wired

Компания Chrysler осведомлена о проблеме, однако, как отмечает Wired, воспринимает её не слишком серьёзно. Производитель выпустил новую прошивку для Uconnect, её необходимо скачать на флешку и загрузить в бортовой компьютер или обратиться к автодилеру, о чём многие владельцы подверженных уязвимости автомобилей могут даже не узнать.

В Chrysler осудили желание Миллера и Валасека поделиться своей находкой с общественностью, отметив, что так хакеры «способствуют незаконным действиям» и даже «вдохновляют на них».

В конце 2014 года эксперты по безопасности на конференции Def Con 22 в Лас-Вегасе заявляли, что массовый удалённый взлом автомобилей может стать реальностью в ближайшие годы, и производители должны быть готовы моментально устранять такие угрозы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Критическая уязвимость в DJL грозит атаками через Java-софт с встроенным ИИ

В Deep Java Library (DJL) объявилась уязвимость, позволяющая провести атаку на Windows, macOS или Linux при загрузке ИИ-модели. Патч уже доступен, пользователям настоятельно рекомендуется обновить библиотеку машинного обучения до версии 0.31.1.

Опенсорсный фреймворк DJL используется разработчиками Java-приложений для интеграции с ИИ. Уязвимости в таких инструментах особенно опасны в условиях общего доступа к ИИ-модели, развернутой в облаке или корпоративной среде.

Проблема CVE-2025-0851 (9,8 балла CVSS) классифицируется как обход каталога, то есть представляет собой возможность записи файлов в произвольное место в системе. В появлении уязвимости повинны утилиты ZipUtils.unzip и TarUtils.untar, используемые для распаковки архивов при загрузке ИИ-моделей.

Злоумышленник может, к примеру, создать в Windows вредоносный архив, и его распаковка на платформе macOS или Linux произойдет вне рабочего каталога. Таким же образом можно провести атаку на Windows, создав архив в macOS/Linux.

Эксплойт позволяет получить удаленный доступ к системе, вставив ключ SSH в файл authorized_keys. Данная уязвимость также провоцирует межсайтовый скриптинг (XSS) через инъекцию HTML-файлов в общедоступную директорию.

Кроме того, высока вероятность атаки на цепочку поставок с целью забэкдоривания корпоративного конвейера ИИ: аналитики данных и исследователи в области ИИ зачастую загружают предобученные модели из внешних источников.

Уязвимости подвержены все выпуски DJL ниже 0.31.1. Данных о злонамеренном использовании CVE-2025-0851 пока нет. Пользователям рекомендуется установить новейшую сборку пакета и загружать архивы ИИ-моделей только из доверенных источников — таких как DJL Model Zoo.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru