Gorące — ostatnie 3 godziny

Dobra, tylko się nie śmiać. W ramach #jesiennewyzwania zrobiłem karmnik dla ptaków. Miałem gdzieś skitrane jakieś deski. Pociąłem, połączyłem i wyszło takie coś. Myślałem żeby jeszcze przelecieć jakąś bejcą czy lakierem ale ptakom chyba bardziej będzie pasowało czyste drewno bez chemii.

Apropos pana kurteczki / prezesa NVIDIA co sie skusił na Chinke Czikulinke :grinning:

#heheszki

Trochę pobawiłam się w weekend fotografią i muszę przyznać, że się za tym stęskniłam 🥲
Nigdy nie byłam jakimś dobrym fotografem xD ale za starych czasów wrzucałam sporo na nieistniejącego już DigArta. Mam takiego całkiem spoczko amatorskiego Canona, który aż domaga się odświeżenia i zakupu jakiegoś fajnego obiektywu.

Tymczasem dzielę się paroma fotkami, które uważam za przyjemne 😁

#fotografia

Owsianka,
Około 400 kcal.
#jedzzhejto #owsianka #dieta

#heheszki

No to tak. Na wstępie pragnę gorąco podziękować @Evivalarte , że wyróżniła mnie swoją sympatią. Dostałam list (ostatni list jaki czytałam dostałam chyba z 18 lat temu), smakołyki :heart_eyes:, herbatkę do nich, gadżety jesieniary i mnóstwo pozytywnych emocji.

#jesiennewyzwania może zostać zaliczone 😁

@Evivalarte jesteś superbabeczka :kissing_heart:

#chwalesie #jesiennewyzwania #dziekuje

#heheszki #policja

Senator z Arizony

#heheszki #rosja #ukraina #wojna #kacapyjebane #usa #polityka

Co prawda ja jestem team #radeon ale tak po prostu, szkoda chłopa.

#heheszki #memy #nvidia

Hello everyone! Dzisiaj o 19:00 odpalam stream, w którym to Wy będziecie głównymi bohaterami!

Spośród plusujących wybiorę osoby, które będą mogły zdalnie sterować moim robotem — bawimy się, aż padnie bateria! Szykujcie się, a ja lecę po paczkę baterii

Chętni będą musieli założyć konto na mojej stronie, którą właśnie uruchamiam. Link i resztę informacji podam w ciągu najbliższych godzin.

Śledźcie tag #dexterslaboratory żeby niczego nie przegapić!

Piorunować i obserwować tag! :)

#chwalesie #lego #konkurs #glupiehejtozabawy

Artysta - poranny mróz
#fotografia #fotografiamobilna #tworczoscwlasna

Wachadło

#polityka #zamachwkrakowie

Wchodz we mnie ty pyszny sk⁎⁎⁎⁎synu.

#hejtokoksy #dieta #jedzenie #gotowanie #gotujzhejto

Ankieta a propo tego: https://www.hejto.pl/wpis/o-ile-podrozala-wymiana-opon-na-zimowe-w-ostatnich-3-latach

Sąsiad mnie pytał w sobotę czy zmieniam sam bo ceny odjechały

#opony #motoryzacja #zima

https://shubs.io/unlocking-any-car-from-x-brand-in-most-of-the-world/

Ktoś właśnie opublikował patent, jak zdalnie otworzyć połączone do sieci samochody (prawdopodobnie) Toyoty i Lexusa. Autor posta rozpracował atak na terenie Australii, a w drugim poście (podlinkowanym na końcu pierwszego) jest wariant na USA/Kanadę. Na razie nie opublikowali nic na Europę, ale obstawiam, że to kwestia czasu.

Autorzy nie podają marki, ale ludzie w komentarzach na ycombinatorze już ustalili, że to prawie na pewno Toyota.

TL;DR - credentialse zahardcodowane w skompilowanym frontendzie + te same credki na środowiska produkcyjne co na developerskie + sporo security by obscurity.

#cyberbezpieczenstwo #motoryzacja #samochody

Bardzo was wszystkich przepraszam, ale niestety streaming musi odbyć się jutro, ponieważ na uruchomienie trzeba czekać 24h o czym nie wiedziałem. Więc jutro dopnę resztę rzeczy, zrobię deployment i bawimy się jutro o 19. Do tego czasu piorunujcie, niech wpisa trafi na główną to będziemy się fajnie bawić :D


#chwalesie #lego #konkurs #glupiehejtozabawy #dexterslaboratory

#memy #heheszki

Oszukali mnie

#heheszki

Drogie hejtosie kasie tomki, @Moderacja o @administrator, drodzy fani i sluchacze z polski oraz calego swiata. Oficjalnie oglaszam rozpoczecie okresu zimowego i zmiane kapci z ultra delux rare dino gold edition na te oto grzejce owconatory recznej roboty.

#gownowpis #tagowanietojuzniejestmojapasja

Auta są zabezpieczone niczym chińskie kamerki internetowe ¯\\(ツ)/¯

ps. tak, pchane czatem, ale opracowanie tego ręcznie to dzień pracy więc sami rozumiecie.

Honda, Nissan, Infiniti, Acura – 2022

Sam VIN wystarczał w demonstracji.



Badacze Sam Curry i współpracownicy odkryli błędy w usługach telematycznych SiriusXM Connected Vehicle Services.

* Punktem wyjścia był numer VIN.

* Można było zdalnie otworzyć i zamknąć samochód.

* Uruchomić i wyłączyć silnik (w modelach obsługujących tę funkcję).

* Zlokalizować samochód.

* Włączyć klakson i światła.

* Uzyskać dane właściciela, w tym imię, nazwisko, e-mail, telefon i adres.

* W określonych przypadkach przejąć dostęp do konta.


Nie było potrzeby fizycznego kontaktu z samochodem.

https://therecord.media/researchers-find-bugs-allowing-access-remote-control-of-cars

Hyundai i Genesis – 2022

Podatność w aplikacji i API producenta.

* Wystarczał adres e-mail przypisany do konta właściciela.

* Badacze ominęli mechanizm autoryzacji.

* Mogli przejąć konto użytkownika.

* Zdalnie otworzyć i zamknąć samochód.

* Uruchomić i wyłączyć silnik.

* Włączyć światła i klakson.

* Uzyskać lokalizację pojazdu.


Atak można było przeprowadzić przez internet, z dowolnego miejsca. Hyundai załatał problem po zgłoszeniu.

https://therecord.media/researchers-find-bugs-allowing-access-remote-control-of-cars

Kia – 2024

Numer rejestracyjny zamiast kluczyka



To jeden z najciekawszych przypadków.

Podatność znajdowała się w internetowym portalu dealerskim Kia.

Badacze wykazali możliwość:

* lokalizacji samochodu;

* otwierania i zamykania zamków;

* uruchamiania i wyłączania silnika;

* uruchamiania klaksonu;

* uzyskania danych osobowych właściciela;

* dodania własnego adresu e-mail jako dodatkowego użytkownika samochodu.


Co szczególnie istotne: demonstracja wykorzystywała numer rejestracyjny pojazdu. Badacze mogli uzyskać dostęp do funkcji samochodu w czasie krótszym niż 30 sekund.

Problem dotyczył samochodów wyposażonych w odpowiedni moduł zdalnego sterowania, również bez aktywnej subskrypcji Kia Connect.

Podatności zostały naprawione.

https://www.bleepingcomputer.com/news/security/kia-dealer-portal-flaw-could-let-attackers-hack-millions-of-cars/

Spireon / LoJack – 2022–2023



To przypadek dotyczący dostawcy telematyki obsługującego bardzo dużą liczbę pojazdów.

Badacze wykazali możliwość uzyskania uprawnień administratora do panelu zarządzania flotą.

Potencjalne możliwości:

* lokalizowanie pojazdów;

* otwieranie zamków;

* uruchamianie silników;

* dezaktywacja rozruszników;

* wysyłanie poleceń do urządzeń telematycznych;

* aktualizacja ich oprogramowania.


Szacowana skala ekspozycji wynosiła około 15,5 mln pojazdów. Nie oznacza to, że wszystkie te auta zostały przejęte.



https://arstechnica.com/cars/2023/01/hackers-discover-that-vulnerabilities-are-rife-in-the-auto-industry/

Subaru STARLINK – 2025

Zdalne przejęcie funkcji samochodu przez internet



Wykryli poważną podatność w panelu administracyjnym Subaru STARLINK.

Co można było zrobić:

* Zdalnie otworzyć i zamknąć samochód.

* Uruchomić i wyłączyć silnik.

* Włączyć klakson.

* Zlokalizować samochód.

* Odczytać historię lokalizacji z ostatnich 12 miesięcy.

* Uzyskać dane osobowe właściciela.

* Przypisać siebie jako autoryzowanego użytkownika pojazdu bez powiadomienia właściciela.


Co było potrzebne?

Dane pozwalające zidentyfikować właściciela, np. nazwisko, kod pocztowy, numer telefonu, e-mail, VIN lub numer rejestracyjny – zależnie od sposobu wyszukiwania.

Nie było konieczne:

* podejście do samochodu;

* podłączenie do OBD;

* posiadanie kluczyka;

* wykorzystanie urządzenia radiowego.


Badacze przetestowali dostęp na dwóch samochodach za zgodą ich właścicieli, w tym Subaru Impreza 2023.

Subaru usunęło podatność w ciągu 24 godzin od zgłoszenia.

https://www.wired.com/story/subaru-location-tracking-vulnerabilities/

https://www.securityweek.com/subaru-starlink-vulnerability-exposed-cars-to-remote-hacking/

https://www.jdsupra.com/legalnews/ethical-hacker-uncovers-vulnerability-4263025/

Subaru STARLINK – 2017

Badacz: Aaron Guzman.

Wykrył osiem podatności w komunikacji aplikacji mobilnej i internetowej z serwerami STARLINK.

Możliwe działania:

* Otwieranie i zamykanie drzwi.

* Sterowanie światłami i klaksonem.

* Dostęp do historii lokalizacji.

* Dodawanie nowych użytkowników z uprawnieniami właściciela.

* Uzyskanie zdalnego dostępu do funkcji samochodu bez wiedzy właściciela.


Problem dotyczył niewłaściwego zabezpieczenia tokenów uwierzytelniających.

Ważne: nie wykazano możliwości ingerencji w hamulce, kierownicę czy sterowanie napędem.

https://www.bitdefender.com/en-us/blog/hotforsecurity/researcher-finds-basic-mistakes-subarus-starlink-service

Volkswagen Golf GTE / Audi A3 e-tron – 2018

Badacze DEFION odkryli podatność pozwalającą na zdalne wykonanie kodu z uprawnieniami administratora (root) w systemie multimedialnym MIB.

* W przypadku Audi A3 e-tron podatna usługa była osiągalna przez internet, przez połączenie komórkowe.

* Możliwe było zdalne przejęcie systemu multimedialnego.

* Badacze uzyskali dostęp do drugiego procesora systemu MIB.

* Zbadali możliwość wysyłania komunikatów do magistrali CAN.


Ograniczenie: zabezpieczenia bramki CAN uniemożliwiły wykazanie wpływu na krytyczne systemy jazdy. Nie udowodniono zdalnego sterowania hamulcami ani kierownicą.

Ważne rozróżnienie: podatność Golfa wykorzystywana w badaniu wymagała bliskości samochodu i połączenia z jego hotspotem Wi-Fi. Natomiast Audi A3 e-tron miało osobną ścieżkę dostępu przez internet.

https://defion.security/en/research-labs/volkswagen-auto-group-mib-infotainment-system-unauthenticated-remote-code-execution-as-root/

Škoda / Volkswagen – podatność API i sam VIN (2023)

Badacze PCAutomotive odkryli dwie podatności w chmurze Škoda Connect:

* CVE-2023-28900

* CVE-2023-28901


Znając VIN samochodu, można było uzyskać:

* pseudonim użytkownika przypisanego do samochodu;

* informacje o ostatnich podróżach;

* daty i godziny przejazdów;

* zużycie paliwa;

* średnią i maksymalną prędkość;

* czas trwania podróży.


Podatności dotyczyły backendu internetowego, a nie fizycznego dostępu do samochodu.

Nie umożliwiały otwierania drzwi ani uruchamiania silnika.

Problem zgłoszono w listopadzie 2022 r. i naprawiono w grudniu 2022 r.

https://pcacybersecurity.com/resources/advisory/vulnerabilities-in-skoda-and-volkswagen-vehicles

Volkswagen, Audi, Škoda, SEAT – wyciek Cariad (2024)

Poważny incydent bezpieczeństwa chmury AWS należącej do ekosystemu Volkswagen Group.

Dotyczył około 800 000 samochodów elektrycznych.

Ujawnione dane obejmowały:

* lokalizacje pojazdów;

* historię ich przemieszczania;

* czasy włączania i wyłączania;

* dane kontaktowe części właścicieli;

* w niektórych przypadkach bardzo dokładne współrzędne GPS.


Około 460 000 pojazdów miało ujawnione precyzyjne dane lokalizacyjne.

Nie była to podatność pozwalająca wydawać polecenia samochodowi. Był to poważny wyciek danych telematycznych.

https://www.theverge.com/2024/12/30/24332181/volkswagen-data-leak-exposed-location-evs

#cybersecurity #cyberbezpieczenstwo #samochody #motoryzacja #bezpieczenstwo #ciekawostki