DEF CON, vulnerabilità in auto e cabine elettorali

L’edizione 2017 della conferenza DEF CON si apre con uno degli argomenti “hot” del momento, una questione di sicurezza costantemente presente nelle cronache informatiche che coinvolge i sistemi di infotainment presenti su un buon numero di modelli di automobili prodotte su scala industriale. E che risultano, neanche a dirlo, vulnerabili all’azione di malintenzionati e cyber-criminali.

Condotto da tre ricercatori in forze a McAfee, il nuovo studio prende in particolare di mira le unità di controllo della telemetria (Telematics Control Unit o TCU) integrate su alcuni modelli di autovetture prodotte da Ford, BMW, Infiniti e Nissan ed equipaggiate con un modem baseband 2G S-Gold 2 (PMB 8876) .

Le TCU in oggetto includono due diverse vulnerabilità di sicurezza , hanno spiegato i ricercatori , una di buffer overflow (CVE-2017-9647) che necessita dell’accesso fisico all’auto-bersaglio e l’altra sfruttabile da remoto (CVE-2017-9633) per eseguire codice arbitrario attraverso un componente interno della TCU.

La lista di auto coinvolte dal problema non è esattamente breve e include vari modelli BMW prodotti tra il 2009 e il 2010, vetture Ford, Infiniti (dal 2013 al 2014) e Nissan Leaf (2011-2015). I produttori rassicurano sulla pericolosità delle falle che riguarderebbero solo i sistemi di infotainment , mentre Ford ha iniziato a disabilitare i modem 2G sulle proprie autovetture a partire dal 2016.

E dopo le autovetture al DEF CON 2017 non potevano certo mancare le cabine elettorali con apparati elettronici , con gli hacker intervenuti a Los Angeles impegnati a smontare le 30 macchine fornite dagli organizzatori (e prodotte da Diebolds, Sequoia o Winvote) alla ricerca di eventuali vulnerabilità.

Come prevedibile, la ricerca delle vulnerabilità è durata meno di 90 minuti con i ricercatori che si sono trovati davanti a sistemi operativi obsoleti (Windows XP) con relative falle sfruttabili via WiFi, versioni non protette della libreria OpenSSL e via elencando . Non bastasse questo, i dati presenti sulle macchine sono risultati parzialmente recuperabili con le informazioni personali di ben 650.000 elettori statunitensi.

Alfonso Maruccia