JVNVU#92749596
BlueDriver LSB2 に認証なしで Bluetooth アクセスが可能な問題

Lemur Vehicle Monitors の BlueDriver LSB2 は、OBD2 ポートに接続して車両の性能に関する情報を提供するデバイスです。BlueDriver LSB2 は Bluetooth によるアクセスに PIN を必要としないため、Bluetooth の無線範囲内にいる誰もが車両の CAN (Controller Area Network) バスに任意のコマンドを送信することが可能です。

• BlueDriver LSB2

重要な機能に対する認証の欠如 (CWE-306) - CVE-2016-2354
CERT/CC は、BlueDriver LSB2 へ Bluetooth でアクセスする際に PIN が必要ないことを確認しました。この問題により、Bluetooth の無線範囲内にいる誰もが、当該車両の標準的な OBD2 診断情報である燃費やトラブルコード、速度、排気量の情報などを取得することが可能です。また、攻撃者は CAN (Controller Area Network) バスに対して、任意のコマンドを送信することが可能です。車両によっては、攻撃者がステアリングやブレーキなどに影響を与える可能性があります。

攻撃は Bluetooth の無線範囲内から行う必要がありますが、車両内の携帯電話などを経由して攻撃することが可能です。車種やモデルによって、情報漏えいから命を脅かす危険まで様々な影響が想定されます。

開発者は CERT/CC に対し、次のように述べています：

BlueDriver scan tool users can update their sensor Firmware (F/W) by opening their BlueDriver App and tapping ‘More’ > ‘Update Sensor F/W’ > 'Check for Updates' and following the instructions.
The latest F/W for BlueDriver limits Bluetooth discoverability to 1 minute after plug in. This added feature limits discovering (and then pairing) to your BlueDriver to those who first plug in the sensor.

BlueDriver Scan Tool のユーザは、アプリを開き、 "More" > "Update Sensor F/W" > "Check for Updates" の順にタップして手順に従うことで機器のファームウェアをアップデートすることが可能です。
最新版ファームウェアでは、Bluetooth の検出が車両への機器接続から 1分間に制限されます。この機能の追加により、BlueDriver を検出 (およびペアリング) できるのは、車両に機器を接続した人物のみに制限されます。