Esta semana, Ford reveló que tiene un error de seguridad en su sistema de información y entretenimiento SYNC3 que permite que un atacante dentro del alcance de Wi-Fi del automóvil lo piratee de forma remota.
Se está trabajando en un parche para este error, dice Ford, que se puede descargar e instalar a través de USB cuando esté disponible. La compañía afirma además que no encontró evidencia de la explotación de este error en la naturaleza, al mismo tiempo que asegura que la seguridad del conductor no se ve comprometida incluso en el peor de los casos.
Expuesto a ataques RCE
Ford, el fabricante estadounidense de automóviles, ha revelado un problema de seguridad con algunos de sus automóviles, que tienen instalado el sistema de infoentretenimiento SYNC3. Rastreado como CVE-2023-29468, este error puede permitir que un perpetrador se haga cargo del sistema de información y entretenimiento del vehículo en el rango de Wi-Fi.
SYNC3 inicialmente descubierto esto como una vulnerabilidad de desbordamiento de búfer en el controlador WL18xx MCP de su subsistema WiFi de información y entretenimiento. Y dado que muchos vehículos Ford y Lincoln usan el sistema de infoentretenimiento SYNC3, todos se ven afectados, con algún ser;
- Ford EcoSport (2021 – 2022)
- Escape Ford (2021 – 2022)
- Ford Bronco Deporte (2021 – 2022)
- Explorador de Ford (2021 – 2022)
- Ford Rebelde (2022)
- Ford Expedición (2021)
- Ford Ranger (2022)
- Ford Transit Connect (2021 – 2022)
- Ford Súper Servicio (2021 – 2022)
- Ford Tránsito (2021 – 2022)
- Ford Mustang (2021 – 2022)
- Ford Transit CC-CA (2022)
Un atacante que explote este error debe estar dentro del rango WiFi del automóvil y activar el desbordamiento del búfer utilizando un marco especialmente diseñado. Dado que requiere una presencia física cercana, el encendido del automóvil y el Wi-Fi encendido, y un alto nivel de sofisticación para piratear, Ford dice que no es un problema grave.
De todos modos, SYNC3 tomó medidas inmediatas para validarlo, estimar el impacto y desarrollar medidas de mitigación para este error. Lo mismo se comparte con Ford, que es ahora haciendo una actualización de parche. Si bien tarda un tiempo en estar disponible, Ford dice que los clientes pueden instalarlo manualmente en sus automóviles a través de un USB.
Diciendo que aún no encontró evidencia de la explotación de este error, Ford garantizó la seguridad del conductor incluso en el peor de los casos de explotación, ya que el “El sistema de información y entretenimiento está protegido por cortafuegos de controles como dirección, aceleración y frenado..”
