CVE-2023-6248
Açıklama
Syrus4 IoT gateway, rastgele komutları indirmek ve yürütmek için güvensiz bir MQTT sunucusu kullanmaktadır; bu durum, kimliği doğrulanmamış uzak bir saldırganın bulut hizmetine bağlı herhangi bir Syrus4 cihazında kod çalıştırmasına olanak tanır. MQTT sunucusu ayrıca bağlanan her cihazdan konum, video ve tanı verilerini sızdırmaktadır. Sunucunun IP adresini bilen bir saldırgan bağlanabilir ve aşağıdaki işlemleri gerçekleştirebilir: * Cihazın bağlı olduğu aracın konum verilerini alma * ECU modülü üzerinden CAN bus mesajları gönderme ( https://syrus.digitalcomtech.com/docs/ecu-1 https://syrus.digitalcomtech.com/docs/ecu-1 ) * Safe-immobilizer modülü aracılığıyla aracı immobilize etme ( https://syrus.digitalcomtech.com/docs/system-tools#safe-immobilization https://syrus.digitalcomtech.com/docs/system-tools#safe-immobilization ) * Bağlı video kamera üzerinden canlı görüntü alma * Sürücüye sesli mesajlar gönderme ( https://syrus.digitalcomtech.com/docs/system-tools#apx-tts https://syrus.digitalcomtech.com/docs/system-tools#apx-tts )
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| digitalcomtech syrus_4g_iot_telematics_gateway_firmware | apex-23.43.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.