В Mazda Connect не исправлено 6 опасных уязвимостей

В Mazda Connect не исправлено 6 опасных уязвимостей

В Mazda Connect не исправлено 6 опасных уязвимостей

Эксперты Trend Micro обнаружили несколько критических уязвимостей в информационно-развлекательном блоке Mazda Connect. Эксплуатация данных брешей позволяет получить полный контроль к сетям транспортных средств, что может создать угрозу безопасности движения.

Ошибки были найдены в Mazda Connectivity Master Unit от Visteon с программным обеспечением, разработанным Johnson Controls. Как отметили исследователи, ошибки не устранены даже в последней версии прошивки 74.00.324A.

Всего эксперты Trend Micro нашли 6 уязвимостей:

  1. CVE-2024-8355: SQL-инъекция в DeviceManager — позволяет злоумышленникам манипулировать базой данных или выполнять сторонний код с помощью внедрения вредоносного ввода при подключении перехваченного устройства Apple.
  2. CVE-2024-8359: Command Injection в REFLASH_DDU_FindFile — позволяет злоумышленникам выполнять произвольные команды в информационно-развлекательной системе, внедряя их во входные пути файлов.
  3. CVE-2024-8360: внедрение команд в REFLASH_DDU_ExtractFile — аналогично предыдущей уязвимости она позволяет злоумышленникам выполнять произвольные команды через несанкционированные пути к файлам.
  4. CVE-2024-8358: внедрение команд в UPDATES_ExtractFile — позволяет выполнять код путём внедрения команд в пути к файлам, используемым в процессе обновления.
  5. CVE-2024-8357: отсутствие корня доверия в App SoC — отсутствуют проверки безопасности в процессе загрузки, что позволяет злоумышленникам сохранять контроль над информационно-развлекательной системой после атаки.
  6. CVE-2024-8356: неподписанный код в VIP MCU — позволяет злоумышленникам загружать несанкционированную прошивку, потенциально предоставляя контроль над определёнными подсистемами автомобиля, включая двигатель, тормоза и трансмиссию.

Старший исследователь Trend Micro's Zero Day Initiative (ZDI) Дмитрий Янушкевич сообщил изданию BleepingComputer, что для эксплуатации данных уязвимостей необходим физический доступ к системе.

Потенциальному злоумышленнику потребуется подключиться к ней через USB, сама процедура атаки займет несколько минут. Особо Дмитрий Янушкевич обратил внимание на дилерские центры и станции техобслуживания, где злоумышленник может получить такой доступ и не вызвать подозрения.

Наиболее опасной эксперт ZDI назвал CVE-2024-8356, которая открывает широкий простор для автоугонщиков и вымогателей. Эта уязвимость позволяет получить доступ к ключевым системам автомобиля.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Yandex B2B Tech готовит платформу Stackland для ИИ в закрытых контурах

Подразделение Yandex B2B Tech, которое отвечает за корпоративные решения Яндекса, готовится выйти на рынок закрытых инфраструктур для ИИ. Новый продукт под названием Yandex Cloud Stackland появится в первом квартале 2026 года, в компании. Stackland — это on-premise-решение, то есть платформа, которую можно установить на собственных серверах заказчика, без подключения к публичному облаку.

Такой вариант выбирают компании, которым важно хранить данные внутри сети — например, банки, госорганы и медицинские учреждения.

В Яндексе сообщили «Ведомостям», что Stackland позволит компаниям разворачивать среду для разработки и эксплуатации ИИ-приложений в своём контуре. В составе системы уже есть все необходимые компоненты: контейнерный оркестратор, объектное хранилище, векторные базы данных и средства управления доступом к графическим ускорителям (GPU) и скоростным сетям вроде Infiniband.

Через Stackland можно будет быстро установить Yandex AI Studio — флагманскую платформу компании для создания ИИ-сервисов. По оценкам разработчиков, это сократит сроки интеграции и снизит затраты: развёртывание инфраструктуры займёт несколько часов вместо 2–4 недель и будет стоить примерно на 95% дешевле.

По данным Yandex B2B Tech, рынок контейнеризации в России к 2025 году может достичь 4–6 млрд рублей, а к 2030-му — вырасти до 9–14 млрд. Компания рассчитывает занять до 50% этого сегмента.

Эксперты отмечают, что интерес к закрытым ИИ-инфраструктурам растёт. Директор по стратегии Cloud.ru Илья Королёв считает, что рынок пока на стадии экспериментов, но спрос формируется быстро: компании ищут решения, которые можно использовать без зависимости от иностранных облаков.

Гендиректор ЦТИИ «Нейролаб» Вячеслав Береснев добавил, что на фоне роста числа кибератак бизнес всё чаще переходит на закрытые системы. «Это дороже и требует специалистов, но у компаний просто нет другого выхода — данные становятся стратегическим активом», — отметил он.

По словам экспертов из «Газинформсервиса» и НТЦ ИТ «Роса», закрытые платформы вроде Stackland особенно востребованы в госсекторе, финансовой и оборонной сферах, где недопустима утечка данных и требуется строгий контроль за внутренней инфраструктурой.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru