Pwn2Own Automotive 2025 49 Zero-Day-Schwachstellen bei Hacking-Contest entdeckt

White-Hat-Hacker haben im Bereich Automotive nach drei Tagen 49 Zero-Day-Schwachstellen entdeckt. Cyberkriminelle könnten ähnliche Methoden für ihre Zwecke nutzen.

VicOne hat gemeinsam mit der Zero Day Initiative (ZDI) den White-Hat-Hacking-Contest „Pwn2Own Automotive 2025“ veranstaltet. Vom 22. Januar bis 24. Januar versuchten einige der besten Sicherheitsforscher der Welt, unbekannte Cybersicherheitslücken (Zero-Day-Schwachstellen) im Automobilbereich zu finden.

Bildergalerie

Bildergalerie mit 6 Bildern

Insgesamt nahmen 21 Hacker aus 13 Ländern am Wettbewerb auf der Automotive World in Tokio teil. In den Regeln stehen neben den Teilnahmebedingungen und -kriterien auch die Bewertungsmaßstäbe und die Kategorien der Zielsysteme. Um Punkte für die Gesamtwertung zu erlangen, konnten die Teilnehmer Ziele aus vier Kategorien attackieren. Diese Kategorien sind:

• In-Vehicle-Infotainment-Systeme (IVI)

• Elektrofahrzeug-Ladegeräte (EV-Charger)

• Betriebssysteme (OS)

• Tesla

Buffer-Überläufe als beliebtes Mittel

Die White-Hat-Hacker entdeckten während des drei tägigen Wettkampfs insgesamt 49 Zero-Day-Schwachstellen. Die meisten dieser Sicherheitslücken befinden sich bei den IVI-Systemen und den EV-Ladegeräten. In der OS-Kategorie erfolgte nur ein Versuch. Das Team „Technical Debt Collectors“ konnte die Sicherheitsmechanismen des „Automotive Grade Linux" erfolgreich umgehen. In der Tesla-Kategorie hat es keinen einzigen Angriff gegeben.

Bei den Methoden, die die Hacker einsetzten, sticht eine heraus. Das Teilnehmerfeld nutzte hauptsächlich Heap- und Stack-basierte Buffer-Überläufe aus. Dieser Bug-Typ ist in der Unternehmensinformatik bereits bekannt. Moderne Codierungspraktiken haben die meisten dieser Anfälligkeiten beseitigt. Die Automobilbranche scheint hier noch ein wenig hinterher zu hinken.

Vehicle Security Operations Center (VSOC)

Cybersicherheit ist in der Automobil­branche nicht mehr optional!

Infotainmentsysteme ermöglichen Zugriff aufs gesamte Fahrzeug

Bei den Angriffen der White-Hacker entsteht kein realer Schaden. Doch ihre Methoden können in der echten Welt verheerende Folgen für die Besitzer haben. Für die meisten Angriffe in der IVI-Kategorie brauchten die Angreifer physischen Zugang zu den Geräten.

Das bedeutet: In einem realen Szenario könnte ein Angreifer das Zielfahrzeug beschädigen, um sich Zutritt zum Cockpit und somit zum IVI-Gerät zu verschaffen. Vielleicht hat der Kriminelle sein Ziel bei einem Parkservice oder in einer Garage ausgesucht. Sobald der Angreifer Zugang zu dem IVI-Gerät hat, ermöglicht ihm das weiteren Zugang zu den anderen Systemen des Fahrzeugs wie dem Steuergerät.

Über das Steuergerät könnte er das Auto durch eine Schadsoftware sperren und den Fahrer zur Zahlung eines Lösegelds auffordern, um das Fahrzeug wieder freizugeben. Diese Methode nennt sich „Carjacking 2.0“.

Direkt zum Start des Wettbewerbs, fanden die Teilnehmer 16 Zero-Day-Schwachstellen. In diesem Video sehen Sie die Highlights des ersten Tages, inklusive der Eröffnungszeremonie.

Kriminelle ergaunern Zahlungsdaten durch Ladegeräte

Die „Pwn2Own Automotive 2025“-Teilnehmer führten ihre Angriffe auf EV-Lädegeräte aus der Ferne über WLAN durch. In einem realen Szenario könnte ein Angreifer ein Ladegerät an einer öffentlich zugänglichen Ladesäule kompromittieren und auf ein Fahrzeug warten. Sobald sich ein Elektroauto zum Laden verbindet, sendet das kompromittierte Ladegerät schädliche Signale an das Fahrzeug.

Der Besitzer bemerkt möglicherweise nicht einmal, dass er gefährdet wurde und verbreitet den Schaden , wenn er sein Auto an ein anderes Ladegerät anschließt. Das kompromittierte Fahrzeug sendet die Signale dann über das Verbindungskabel zurück an ein EV-Ladegerät.

Viele dieser Ladegeräte nutzen RFID-Karten, Apps oder Kreditkarten zur Abrechnung. Mit so einem Angriff können Kriminelle Zahlungsdaten im großen Stil erbeuten. Und das bevor die Opfer überhaupt merken, dass ihr Fahrzeug Schadsoftware ausgesetzt war und sie diese selbst verbreiten.

Risiko für Unternehmen mit E-Autos im Fuhrpark

Der Hacker und die Ladesäule

Die Gewinner des Wettbewerbs

Ein Teilnehmer konnte sich über die Dauer des Wettbewerbs klar vom Rest des Feldes abgesetzen. Sina Kheirkhah vom Summoning Team entdeckte allein 14 Zero-Day-Schwachstellen. Diese haben ihm 30,5 PWN-Points und den Titel „King of Pwn“ beschert.

Besonders sein Angriff auf den „Ubiquiti Connect EV Station Charger“ war ein Highlight. Er nutzte einen Bug aus, um das Musikvideo von Rick Astleys „Never Gonna Give You Up“ auf dem Bildschirm des Ladegeräts abspielen zu lassen. Dieses Musikvideo ist Teil des Internetphänomens „rickrolling“, bei dem Nutzer ausgetrickst werden um unwillentlich das Musikvideo abzuspielen.

Den zweiten Platz in der Gesamtwertung sicherte sich das das französische Team „Synacktiv“ mit sieben entdeckten Zero-Day-Schwachstellen und 21,75 PWN-Points. Die Franzosen haben den Wettbewerb im Vorjahr für sich entscheiden können und auch dieses Jahr präsentierten sie eine beeindruckende Leistung.

Bereits am ersten Tag des Wettbewerbs machten die Titelverteidiger auf sich aufmerksam. Sie nutzen einen Stack basierten Pufferüberlauf beim „ChargePoint Home Flex (Modell CPH50)“ aus. Außerdem konnten sie einen bekannten Bug ausnutzen, um das Signal über den Anschluss des Ladegeräts zu manipulieren. Das brachte ihnen Bonuspunkte ein.

Im Teilnehmerfeld befand sich auch ein deutsches Team. Mit drei entdeckten Zero-Day-Schwachstellen und 12 PWN-Points belegte „fuzzware.io“ aus Bochum den vierten Platz in der Gesamtwertung.

Cybersecurity für vernetzte Fahrzeuge

Haben Hacker Zugriff auf mein Auto?

(ID:50338072)