XSS-брешь в Tesla Model 3 позволяла изменить информацию об автомобиле

XSS-брешь в Tesla Model 3 позволяла изменить информацию об автомобиле

XSS-брешь в Tesla Model 3 позволяла изменить информацию об автомобиле

Tesla выплатила эксперту $10 000 за информацию о XSS-уязвимости, которую злоумышленники могли использовать для получения, а возможно, и модификации информации транспортного средства Tesla Model 3.

Этичный хакер из Небраски Сэм Карри проанализировал программное обеспечение, установленное в машинах Tesla Model 3. В результате исследователю удалось выявить XSS-брешь в поле «Name Your Vehicle», которое находится в информационно-развлекательной системе автомобиля.

Карри использовал инструмент XSS Hunter, который как раз помогает исследователям находить уязвимости типа XSS. У XSS Hunter даже предусмотрена специальная панель управления, с помощью которой эксперт может отправлять себе информацию о найденных уязвимых компонентах.

В процессе исследования Карри обратил внимание, что XSS Hunter смогу собрать некую информацию об автомобиле. Судя по всему, эта информация хранится во внутреннем приложении Tesla.

Среди перехваченных данных оказались: идентификационный номер транспортного средства (VIN), скорость, температура, номер версии, информация о наличии или отсутствии блокировки и данные о давлении в шинах.

«Самое интересное — была возможность отправлять автомобилю обновления. Другими словами, можно было изменить конфигурацию машины. Тестировать эту возможность я не стал», — объясняет Карри.

После того как Карри сообщил об уязвимости Tesla, компания присвоила ей самую высокую степень опасности. В течение 12 часов разработчики выпустили патч, а Карри получил свои $10 000.

В Госдуму внесли второй пакет мер против телефонного мошенничества

Правительство внесло в Госдуму второй пакет законопроектов, направленных на противодействие телефонному и дистанционному мошенничеству. Он включает около 20 различных мер. Руководство нижней палаты пообещало рассмотреть инициативу в приоритетном порядке. Подготовка второго антимошеннического пакета началась в марте 2025 года — практически сразу после внесения в Госдуму первого.

Как указано в пояснительной записке, цель инициативы — «комплексное совершенствование мер противодействия преступлениям, совершаемым с использованием информационно-коммуникационных технологий».

Пакет законопроектов был внесен в Госдуму в пятницу вечером.

Среди мер, вошедших во второй пакет, первый вице-премьер Дмитрий Григоренко особо выделил следующие инициативы:

  • Введение самозапрета на входящие вызовы из-за рубежа.
  • Обязательная маркировка операторами связи звонков с иностранных номеров.
  • Ограничения на работу виртуальных АТС: их размещение только на территории России и обязательное использование Единой системы аутентификации и идентификации абонентов.
  • Внедрение системы учета IP-адресов.
  • Обязанность операторов связи передавать выявленные номера мошенников в государственную информационную систему «Антифрод».
  • Ограничение количества виртуальных сим-карт — не более 10 на одного абонента.
  • Ограничение количества банковских карт — до 20 на одного человека и не более 5 в одном банке.
  • Введение детских сим-карт с ограниченным набором сервисов.
  • Упрощение процедуры внесудебной блокировки фишинговых ресурсов (в настоящее время таким правом наделен только Банк России).
  • Изменение порядка восстановления доступа к порталу «Госуслуги»: воспользоваться можно будет только доверенными способами — через биометрическую идентификацию, мессенджер Max или при личном обращении в МФЦ.

Как заявил председатель Госдумы Вячеслав Володин 27 декабря, законопроект будет рассмотрен нижней палатой в приоритетном порядке. Его обсуждение запланировано на 12 января — первую пленарную сессию после новогодних каникул.

RSS: Новости на портале Anti-Malware.ru