梅赛德斯—奔驰信息娱乐系统漏洞详细信息披露

上周 ，梅赛俄罗斯网络安全公司卡巴斯基发布了一篇博客文章（梅赛德斯-奔驰主机安全研究报告），奔驰深入分析了梅赛德斯—奔驰用户体验（MBUX）系统。信息系统详细信息此次研究主要针对第一代MBUX系统，娱乐卡巴斯基详细描述了它的漏洞研究发现 ，并针对每个漏洞发布了安全公告 。披露

漏洞列表CVE-2024-37602CVE-2024-37600CVE-2024-37603CVE-2024-37601CVE-2023-34406CVE-2023-34397CVE-2023-34398CVE-2023-34399CVE-2023-34400CVE-2023-34401CVE-2023-34402CVE-2023-34403CVE-2023-34404

这些漏洞中，云计算梅赛部分可用于发动拒绝服务（DoS）攻击
，奔驰另一些则可用于获取数据、信息系统详细信息执行命令注入以及提升权限。娱乐卡巴斯基证实，漏洞攻击者如果能够接触到目标车辆 ，披露就可以通过USB或自定义UPC连接利用某些漏洞
，梅赛禁用主机单元中的亿华云奔驰防盗保护功能、对车辆进行调校以及解锁付费服务 。信息系统详细信息这些漏洞已被分配了2023年和2024年的CVE标识符 。

梅赛德斯—奔驰方面表示 ，他们早在2022年就已知晓卡巴斯基的研究结果。源码库同时指出，研究人员所描述的攻击场景需要对车辆进行现场物理接触 ，并且需要进入车辆内部
，甚至拆卸并打开主机单元，较新的信息娱乐系统版本不受影响。服务器租用梅赛德斯—奔驰强调 ，其产品和服务的安全性具有“高优先级”，并呼吁研究人员通过其漏洞披露计划报告相关发现。

此前，该公司还曾因员工泄露GitHub令牌而暴露其IT基础设施的安全隐患。建站模板一年前 ，RedHunt Labs曾报告称，一名奔驰员工泄露的GitHub令牌可访问公司GitHub企业服务器上存储的所有源代码  。

此次事件也再次提醒汽车行业，随着车辆智能化程度的高防服务器提升 ，网络安全问题已成为不容忽视的重要课题。

参考链接：https://www.securityweek.com/details-disclosed-for-mercedes-benz-infotainment-vulnerabilities/