XSS-брешь в Tesla Model 3 позволяла изменить информацию об автомобиле

XSS-брешь в Tesla Model 3 позволяла изменить информацию об автомобиле

XSS-брешь в Tesla Model 3 позволяла изменить информацию об автомобиле

Tesla выплатила эксперту $10 000 за информацию о XSS-уязвимости, которую злоумышленники могли использовать для получения, а возможно, и модификации информации транспортного средства Tesla Model 3.

Этичный хакер из Небраски Сэм Карри проанализировал программное обеспечение, установленное в машинах Tesla Model 3. В результате исследователю удалось выявить XSS-брешь в поле «Name Your Vehicle», которое находится в информационно-развлекательной системе автомобиля.

Карри использовал инструмент XSS Hunter, который как раз помогает исследователям находить уязвимости типа XSS. У XSS Hunter даже предусмотрена специальная панель управления, с помощью которой эксперт может отправлять себе информацию о найденных уязвимых компонентах.

В процессе исследования Карри обратил внимание, что XSS Hunter смогу собрать некую информацию об автомобиле. Судя по всему, эта информация хранится во внутреннем приложении Tesla.

Среди перехваченных данных оказались: идентификационный номер транспортного средства (VIN), скорость, температура, номер версии, информация о наличии или отсутствии блокировки и данные о давлении в шинах.

«Самое интересное — была возможность отправлять автомобилю обновления. Другими словами, можно было изменить конфигурацию машины. Тестировать эту возможность я не стал», — объясняет Карри.

После того как Карри сообщил об уязвимости Tesla, компания присвоила ей самую высокую степень опасности. В течение 12 часов разработчики выпустили патч, а Карри получил свои $10 000.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

Ankey IDM получил новый сертификат соответствия ФСТЭК России

Компания «Газинформсервис» сообщила о получении нового сертификата соответствия ФСТЭК России для программного комплекса Ankey IDM версии 1.8. Документ будет действовать до 2030 года и подтверждает, что решение отвечает требованиям регулятора к средствам защиты информации.

Сертификат позволяет использовать Ankey IDM для защиты от несанкционированного доступа к ресурсам, содержащим персональные данные и коммерческую тайну, как в государственных, так и в коммерческих информационных системах.

Для заказчиков это означает возможность внедрять платформу в инфраструктуру без дополнительных согласований с регулятором.

Менеджер продукта Ankey IDM Александр Давыдов отметил, что получение сертификата подтверждает соответствие решения актуальным требованиям безопасности и закрепляет его позицию на рынке как отечественного инструмента для управления доступом.

Ankey IDM относится к классу IGA-систем и используется для централизованного управления учётными записями и полномочиями сотрудников и подрядчиков. Платформа помогает контролировать доступ, поддерживать политики раздельности полномочий и интегрироваться с различными российскими системами информационной безопасности.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

RSS: Новости на портале Anti-Malware.ru