Lexus部分车款系统漏洞可能让骇客注入恶意指令

安全研究人员发现，日本汽车大厂丰田旗下Lexus部分车款（NX、LS、ES系统）的影音导航系统（Audio, Visual and Navigation，AVN）有安全问题，可能遭骇注入恶意指令，成功操控车上某些设备。

首先揭露漏洞的腾讯旗下的Keen Security实验室指出，漏洞其实不是在AVN上，而是在Lexus NX系列的蓝牙和车辆诊断功能，但这些功能上的多个安全漏洞可能影响车上AVN系统、控制器局域网络（Controller Area Network，CAN）及相关电子控制单位（Electronic Control Unit，ECU）。2017年开始Lexus为旗下车系导入AVN。除了NX外，LS、ES系列也内建同样的AVN系统。

腾讯Keen Labs研究人员并未说明漏洞，只表示串联起这些漏洞后，得以在不需使用者动作情况下，远端成功接管实验的一台NX 300的AVN单元，并向CAN网络注入恶意CAN讯息，造成“某些实际行为”。

丰田也证实这项消息。丰田指出，某些Toyota及Lexus的多媒体系统的蓝牙功能漏洞被开采后，其“特定车辆功能可能发生运作”。但丰田指出，攻击行为并不会影响方向盘、刹车或油门。

此外，丰田也指出，开采这些漏洞需要对多媒体系统特别了解，而且骇客需要待在车子附近一段时间才能发动攻击。因此该公司认为此类攻击难度相当高，不太可能在现实生活中发生。

丰田已经针对产线上的车辆修补该漏洞。至于已出售的车子，车主可以下载更新版固件。该公司预定2021年适当时间发布完整技术报告。

随着汽车成为物联网的一部分，加装各种连网系统，连带增加骇客攻击面。多项研究发现，包括车载资讯系统（In-Vehicle Instrument，IVI）、防盗系统都可能遭骇，而发生资讯外泄甚至车辆被控制的灾难。本月比利时及英国研究人员才揭露，许多汽车的防盗系统含有安全漏洞，可能让骇客得以解除防盗，影响丰田（Toyota）、现代及Kia等品牌车款。