Исследователи выявили 413 уязвимостей в автософте: облачные сервисы стали главной целью
Анализ 413 дефектов автософта показал смещение вектора атак с бортовых микроконтроллеров на облачные сервисы и веб-приложения.
Исследователи из Гётеборгского университета и Технического университета Чалмерса проанализировали 413 уязвимостей автомобильного программного обеспечения, зафиксированных с января 2022 года по сентябрь 2024 года, сообщает Software Quality Journal springer.com
Software Quality Journalspringer.comОткрыть источник ↗. Авторы отследили векторы атак по всей длине жизненного цикла разработки ПО (SDLC), исследовав общедоступные базы дефектов и профильные репозитории.
Смещение угроз в сторону облака
Согласно полученным данным, мобильные приложения, веб-сайты и облачные службы подключённого транспорта составили 36,2% от общего числа брешей, оказавшись наиболее уязвимой категорией. В сравнении с периодом 2010–2019 годов доля внешнего софта среди уязвимостей выросла с 14,5% до 41,3%, тогда как доля дефектов во встроенных бортовых системах снизилась с 69,1% до 44,3%. Доля критических уязвимостей увеличилась с 5,1% до 16,3%, а дефекты высокой степени тяжести заняли 44,8% выборки. При этом ключевыми векторами стали классические сетевые бреши: лидирует внедрение SQL-кода, за которым следует межсайтовый скриптинг.
Анализ цепочек поставок и компонентов
В ходе работы специалисты просканировали 20 автомобильных репозиториев с открытым исходным кодом, включая манифесты, образы и спецификации материалов ПО (SBOM). В них было обнаружено 827 уязвимых библиотек повторного использования, часть из которых реализует криптографические функции. Среди аппаратных решений наибольшее число уязвимостей пришлось на компоненты Qualcomm — 58 зафиксированных случаев, что авторы связывают с высокой рыночной долей чипмейкера и прозрачностью его отчётов.
Бортовые мультимедийные и телематические системы сохраняют роль ключевого шлюза к исполнительным механизмам springer.com
Software Quality Journalspringer.comОткрыть источник ↗. Так, в 2023 году специалисты по безопасности продемонстрировали возможность удалённого доступа к контурам управления тормозами и рулевым приводом через бреши мультимедиа. Авторы исследования рекомендуют разработчикам строго изолировать сетевые интерфейсы от бортовых шин управления автомобилем.
