[데일리시큐]블루투스 취약점 ‘PerfektBlue’, 수백만 대 차량에 원격 해킹 위협 현실화

내용 요약

PCA Cyber Security가 OpenSynergy의 Bluetooth 스택인 BlueSDK에서 네 가지 심각한 보안 취약점을 발견했습니다. 이 취약점들은 메르세데스-벤츠, 폭스바겐, 슈코다 등 여러 차량의 인포테인먼트 시스템(IVI)에 영향을 미치며, 악용될 경우 원격 코드 실행으로 이어질 수 있습니다.

핵심 포인트

• OpenSynergy의 BlueSDK에서 4가지 심각한 보안 취약점 발견
• 메르세데스-벤츠, 폭스바겐, 슈코다를 포함한 주요 자동차 제조사 차량에 영향
• 취약점 악용 시 원격 코드 실행 가능성
• PCA Cyber Security에서 취약점 발견 및 제조사에 responsible disclosure 진행

기술 세부 내용

1️⃣ BlueSDK 취약점 분석

• 취약점 개요: BlueSDK는 Bluetooth 기능 구현을 위한 소프트웨어 스택으로, 여러 자동차 제조사의 IVI 시스템에 사용됩니다. PCA Cyber Security는 이 스택에서 메모리 손상, 입력 검증 부족 등 네 가지 취약점을 발견했습니다. 이 취약점들은 개별적으로 또는 조합되어 공격자가 Bluetooth 연결을 통해 원격으로 악성 코드를 실행할 수 있도록 합니다.
• 취약점 영향: 이 취약점들은 차량의 인포테인먼트 시스템을 제어하는 공격자가 차량 기능을 조작하거나 개인 정보에 접근할 수 있게 합니다. 예를 들어, 공격자는 차량의 오디오 시스템, 네비게이션, 전화 연결 등을 제어할 수 있으며, 심각한 경우 차량의 안전 시스템에도 영향을 미칠 수 있습니다.
• 취약점 종류: 뉴스 본문에서는 구체적인 취약점 종류(e.g., Buffer Overflow, Integer Overflow, Use-After-Free)를 명시하지 않았습니다. 다만 메모리 손상, 입력 검증 부족 등의 문제가 언급되었으므로 메모리 관련 취약점 및 입력 검증 취약점일 가능성이 높습니다.
• 공격 시나리오 예시: 공격자는 차량 근처에서 Bluetooth 연결을 시도하고, 취약점을 악용하여 악성 코드를 IVI 시스템에 전송합니다. 이 악성 코드는 시스템 권한을 획득하여 차량 기능을 제어하거나 정보를 탈취할 수 있습니다.

2️⃣ Responsible Disclosure

• PCA Cyber Security는 발견된 취약점을 OpenSynergy와 해당 자동차 제조사에 responsible disclosure 절차를 통해 보고했습니다. 이는 취약점 정보를 공개적으로 공개하기 전에 해당 업체들이 패치를 개발하고 배포할 수 있는 시간을 제공하는 윤리적인 해킹 관행입니다.
• Responsible disclosure를 통해 제조사들은 사용자들에게 피해가 발생하기 전에 보안 업데이트를 제공할 수 있습니다.

3️⃣ 차량 보안의 중요성

• 이번 사건은 차량 시스템, 특히 연결된 차량 시스템의 보안 강화 필요성을 강조합니다. 차량이 점점 더 네트워크에 연결됨에 따라 사이버 공격의 표적이 될 가능성도 높아지고 있습니다.
• 자동차 제조사들은 차량 시스템의 보안을 강화하고, 취약점 발견 시 신속하게 대응해야 합니다. 또한, 사용자들은 차량 소프트웨어 업데이트를 꾸준히 설치하여 최신 보안 패치를 적용하는 것이 중요합니다.

 

출처: https://www.dailysecu.com/news/articleView.html?idxno=167926