شرکت خودروساز هیوندا واقع در کره‌ی جنوبی، به‌روزرسانی را برای برنامه‌ی تلفن همراه خود منتشر کرد که در آن یک سری آسیب‌پذیری وصله می‌شود. بهره‌برداری از این آسیب‌پذیری‌ها به مهاجم اجازه می‌دهد ماشین قربانی را مکان‌یابی کرده و قفل آن را باز کند و در ادامه آن را روشن کرده و به سرقت ببرد.

برنامه‌ی شرکت هیوندا با نام «پیوند آبی» در دو نسخه‌ی اندروید و iOS در اختیار کاربران قرار گرفته و به آن‌ها این امکان را می‌دهد تا از راه دور بر ماشین خود کنترل و نظارت داشته باشند. فهرستی از ویژگی‌های ارائه‌شده توسط این برنامه عبارت است از روشن کردن ماشین از راه دور، کنترل دمای داخل کابین، بازیابی سرقت خودرو، قفل از راه دور و باز کردن قفل، گزارش سلامت خودرو و اعلان برخورد به‌طور خودکار.

محققان امنیتی از شرکت Rapid۷ دو آسیب‌پذیری جدی را در این برنامه کشف کردند که مربوط به فرآیند انتقال رکوردهای ثبت‌شده بوده که این ویژگی در دسامبر سال ۲۰۱۶ میلادی معرفی و ارائه شده است. در نسخه‌های ۳.۹.۴ و ۳.۹.۵ این برنامه، پرونده‌های رکوردها به‌صورت رمزنگاری‌شده به‌وسیله‌ی پروتکل HTTP بر روی یک آدرس IP که از قبل تعیین شده، بارگذاری می‌شود. نام این پرونده با آدرس رایانامه‌ی فرد یکی است و در آن اطلاعاتی مانند نام کاربری، گذرواژه، پین و داده‌های GPS قرار دارد.

هرچند که این پرونده‌ی رکوردها، رمزنگاری شده است ولی رمزنگاری مبتنی بر یک کلید هارکدشده است که قابل تغییر نیست. یک مهاجم با حمله‌ی مرد میانی و در یک شبکه‌ی آلوده‌ی وای‌فای می‌تواند ترافیک HTTP که این برنامه ارسال می‌کند را شنود کرده و به این پرونده و اطلاعات داخلی آن دست یابد.

اطلاعاتی که در این پرونده ذخیره شده، می‌تواند توسط نفوذگر برای مکان‌یابی، باز کردن قفل و روشن‌ کردن ماشین مورد استفاده قرار بگیرد. Rapid۷ در یک پست وبلاگی جزئیات این آسیب‌پذیری را توضیح داده است. یک مشاوره‌نامه‌ی امنیتی نیز منتشر شده که در آن حمله‌ی مرد میانی با شناسه‌ی CVE-۲۰۱۷-۶۰۵۲ با درجه‌ی اهمیت متوسط و ضعف در کلیدهای رمزنگاری هاردکدشده با شناسه‌ی CVE-۲۰۱۷-۶۰۵۴ با درجه‌ی اهمیت بالا در نظر گرفته شده‌اند.

این آسیب‌پذیری‌ها توسط Rapid۷ در ماه فوریه کشف شده و هیوندا در ماه مارس با انتشار نسخه‌ی ۳.۹.۶ برای سامانه‌های اندرویدی و iOS آن‌ها را وصله کرده است. در این نسخه‌ی جدید، ویژگی انتقال رکوردهای ثبت‌شده، حذف شده و بر روی آدرس IP که پرونده به سمت آن ارسال می‌شد، سرویس TCP غیرفعال شده است. هیوندا اعلام کرده به‌روزرسانی این برنامه برای کاربران بسیار ضروری است.

هیوندا اعلام کرده شواهدی مبنی بر بهره‌برداری از این آسیب‌پذیری‌ها در دنیای واقعی با اهداف مخرب مشاهده نشده است. این شرکت امنیتی و هیوندا اعلام کردند بهره‌برداری از این آسیب‌پذیری‌ها سخت و مشکل است چرا که نفوذگر برای انجام حمله، در شبکه‌ی آلوده، نیاز به امتیازات سطح بالا دارد.

این مسئله که در برنامه‌ای که توسط یک شرکت خودروسازی ارائه شده آسیب‌پذیری وجود دارد که به مهاجم امکان سرقت خودرو را می‌دهد، چیز عجیبی نیست. در ماه‌های اخیر شاهد بودیم که آسیب‌پذیری‌های متعددی در برنامه‌های خودرو کشف شده است. به‌عنوان مثال می‌توان برنامه‌ی ماشین‌های تسلا را نام برد.