トヨタ自動車の故障診断ツールに脆弱性 - ECU間の通信に判明

トヨタ自動車が提供する自動車の故障診断ツール「Global TechStream（GTS）」に脆弱性が含まれていることが明らかとなった。自動車など接続したコネクタ経由で悪用されるおそれがあるという。

同ソフトは、国内外でトヨタ車を扱うディーラーや修理工場などで利用されている故障を診断するためのツール。「同15.10.032」および以前のバージョンにバッファオーバーフローの脆弱性「CVE-2020-5610」が明らかとなった。

車両において故障診断に利用する「OBD2コネクタ」を通じて「ECU（Electronic Control Unit）」と通信を行った際、細工したデータを受信するとバッファオーバーフローが生じ、任意のコードを実行されたり、サービス拒否に陥るおそれがあるという。共通脆弱性評価システムであるCVSSv3のベーススコアは「4.1」。

ラックの北川智也氏が発見し、情報処理推進機構（IPA）へ報告したもので、JPCERTコーディネーションセンターが調整を実施。トヨタ自動車では脆弱性を修正したアップデートを提供している。

（Security NEXT - 2020/07/30 ） ツイート

PR

関連記事

「WooCommerce」旧版にRCE脆弱性 - 実証コードも
「Node.js」に12件の脆弱性 - 修正版を公開
「FortiOS」の「SSL VPN」脆弱性に関するアドバイザリを更新
「Splunk Enterprise」にアップデート - 「クリティカル」脆弱性など解消
「Cisco ISE」にRCE脆弱性 - 端末の接続に影響するおそれも
ロードバランサ「HAProxy」に脆弱性 - 同期破壊のおそれ
「Webmin」に認証バイパスなど複数の脆弱性 - 最新版で修正
6月公表の「Splunk Enterprise」脆弱性、悪用を確認
FWやVPNの認証情報を攻撃者が大量保有 - 「FortiBleed」に要警戒
「nginx」に複数のクリティカル脆弱性 - 修正版が公開