Zero Day Initiative dari Trend Micro mensponsori kompetisi Otomotif Pwn2Own tahunan ketiganya di Tokyo minggu ini, menerima 73 peserta, jumlah terbanyak yang pernah ada untuk acara Pwn2Own. “Berdasarkan aturan Pwn2Own, semua kerentanan yang diungkapkan dilaporkan ke vendor yang terkena dampak melalui ZDI,” lapor Help Net Security, “dengan pengungkapan publik ditunda untuk memberikan waktu untuk perbaikan.” Platform infotainmen dari Tesla, Sony, dan Alpine termasuk di antara sistem yang disusupi selama demonstrasi. Para peneliti mencapai eksekusi kode menggunakan teknik yang mencakup buffer overflows, kebocoran informasi, dan kelemahan logika. Satu unit infotainment Tesla disusupi melalui serangan berbasis USB, yang mengakibatkan akses tingkat root. Infrastruktur pengisian kendaraan listrik juga mendapat perhatian yang signifikan. Tim berhasil mendemonstrasikan eksploitasi terhadap pengisi daya dari Autel, Phoenix Contact, ChargePoint, Grizzl-E, Alpitronic, dan EMPORIA. Beberapa serangan melibatkan rangkaian beberapa kerentanan untuk memanipulasi perilaku pengisian daya atau mengeksekusi kode pada perangkat. Demonstrasi ini menyoroti bagaimana stasiun pengisian daya beroperasi sebagai sistem yang terhubung ke jaringan dan berinteraksi langsung dengan kendaraan. Ada rekap video di saluran YouTube ZDI — rupanya para peneliti Fuzzware.io “dapat mengambil alih pengisi daya Phoenix Contact EV melalui bluetooth.” Tiga peneliti juga mengeksploitasi pengisian cepat HYC50 Alpitronic dengan bug TOCTOU klasik, menurut situs acara tersebut, “dan memasang versi Doom yang dapat dimainkan untuk boot.” Mereka memperoleh $20.000 — sebagian dari $1.047.000 USD diberikan selama acara tiga hari. Cakupan lebih lanjut dari SecurityWeek: Pemenang acara tersebut, tim Fuzzware.io, memperoleh total $215.500 untuk eksploitasinya. Tim menerima hadiah individu tertinggi: $60.000 untuk eksploitasi pengisi daya Alpitronic HYC50 EV yang dikirimkan melalui senjata pengisi daya. ZDI menggambarkannya sebagai “eksploitasi publik pertama dari supercharger”.
Baca lebih lanjut cerita ini di Slashdot.
