الثغرة الحرجة في GPS Tracker الشهير يتيح للقراصنة التحكم في المركبات عن بعد

[HalhulTech]

تم تصنيع جهاز تعقب MV720 GPS بواسطة شركة MiCODUS التي تتخذ من الصين مقراً لها والتي تم إبلاغها بالعيوب في سبتمبر 2021 ومع ذلك لم يتم إصلاح المشكلة.​

حددت شركة BitSight الناشئة للأمن السيبراني ستة عيوب في جهاز تعقب GPS MV720 الذي تصنعه شركة MiCODUS في الصين. وفقًا لباحثي أمن تكنولوجيا المعلومات في BitSight ، كانت الثغرات الأمنية الحرجة موجودة في أجهزة تعقب GPS MV720 ، والتي تستخدم بشكل أساسي لتتبع أساطيل المركبات. يمكن أن تسمح نقاط الضعف للقراصنة بتتبع المركبات وإيقافها والتحكم فيها عن بُعد.

لمعلوماتك ، فإن MV720 عبارة عن متعقب جي بي إس سلكي تبلغ قيمته حوالي 20 دولارًا. يدعي صانع الإلكترونيات MiCODUS ومقره Shenzhen أن 1.5 مليون من أجهزة تعقب GPS الخاصة به قيد الاستخدام حاليًا من قبل أكثر من 420.000 عميل في 169 دولة.

علاوة على ذلك ، يشمل عملائها العديد من شركات Fortune 50 ، والشحن ، والفضاء ، والحكومة ، والجيش ، والبنية التحتية الحيوية ، ووكالات إنفاذ القانون ، ومشغل محطة الطاقة النووية.

تفاصيل نقاط الضعف​

اكتشف BitSight ستة نقاط ضعف خطيرة في المتعقب المذكور أعلاه ، والتي يمكن استغلالها بسهولة عن بُعد لتتبع مركبة في الوقت الفعلي ، والحصول على معلومات حول الطرق السابقة ، وحتى قطع محركات المركبات أثناء الحركة.



أوضح الباحث الأمني الرئيسي في BitSight ومؤلف التقرير ، Pedro Umbelino ، أن الاستغلال السهل للثغرات يثير "أسئلة مهمة" حول منتجات الشركة حيث قد لا تقتصر الأخطاء على نموذج واحد لتعقب GPS. إنه يعتقد أن نفس العيوب موجودة في نماذج التتبع الأخرى.


جهاز تعقب GPS MV720

مخاطر العيوب​

وفقًا لمدونة BitSight ، هناك عيب واحد في MV720 في اتصالات HTTP غير المشفرة ، مما يسمح للقراصنة بتنفيذ هجمات الخصم في الوسط ( AiTM ) لاعتراض / تغيير الطلبات المتبادلة بين الخوادم وتطبيق الهاتف المحمول.

تم العثور على عيب آخر في آلية مصادقة المتعقب في تطبيق الهاتف المحمول ، والتي تتيح للمهاجمين الوصول إلى المفتاح الثابت لقفل أجهزة التعقب واستخدام عنوان IP مخصص. يتيح ذلك للمتسللين مراقبة الاتصالات من وإلى الجهاز والتحكم فيها.

تم تعيين معدل خطورة للثغرة الأمنية التي تم تعقبها على أنها CVE-2022-2107 9.8 من 10. إنها كلمة مرور مشفرة بشكل ثابت تستخدمها متتبعو MiCODUS ككلمة مرور رئيسية. إذا حصل المتسللون على رمز المرور ، فيمكنهم استخدام رمز المرور هذا لتسجيل الدخول إلى خادم الويب والتظاهر كمستخدم أصيل لإرسال أوامر إلى المتعقب عبر اتصالات الرسائل القصيرة.

وبالتالي ، يمكنهم التحكم بشكل كامل في أي جهاز تعقب GPS ، والوصول إلى تفاصيل الموقع ، ونزع سلاح الإنذار ، وتغيير المسارات والسياج الجغرافي ، وقطع وقود المركبات.



ثغرة أخرى تم تتبعها مثل CVE-2022-2141 تمكن من حالة مصادقة معطلة في البروتوكول الذي يستخدمه المتعقب للتواصل مع خادم MiCODUS. ثم هناك خطأ برمجة نصية منعكسة عبر المواقع تم تحديده في خادم الويب. تسميات تتبع الثغرات الأمنية الأخرى هي CVE-2022-2199 و CVE-2022-34150 و CVE-2022-33944 .

في كتابتها الفنية ، حذرت BitSight MiCODUS في سبتمبر 2021 من العيوب. ومع ذلك ، بعد استجابة الشركة الفاترة ، قررت CISA و BitSight الإعلان عن النتائج. نقاط الضعف لا تزال غير مصححة. توصي BitSight جميع المؤسسات والأفراد الذين يستخدمون أجهزة تعقب GPS MV720 بتعطيل الأجهزة على الفور حتى يتم تصحيحها.

المنظمات والأفراد الذين يستخدمون أجهزة MV720 في سياراتهم معرضون للخطر. بالاستفادة من مجموعات البيانات الخاصة بنا ، اكتشفت BitSight أجهزة MiCODUS المستخدمة في 169 دولة من قبل المنظمات بما في ذلك الوكالات الحكومية والجيش وإنفاذ القانون ، بالإضافة إلى الشركات التي تغطي مجموعة متنوعة من القطاعات والصناعات بما في ذلك الطيران والطاقة والهندسة والتصنيع والشحن والمزيد . نظرًا لتأثير وشدة الثغرات الأمنية التي تم العثور عليها ، يوصى بشدة أن يتوقف المستخدمون فورًا عن استخدام أو تعطيل أي من أجهزة تعقب GPS MiCODUS MV720 حتى يتم توفير الإصلاح.