Sicherheitlücke Bluetooth
Mercedes-Benz reagiert auf Bluetooth-Sicherheitslücke
Bin mal gespannt, ob die es wirklich für alle über OTA hinbekommen.....
13 Antworten
Und überhaupt: wieso jetzt erst? Die Lücke ist seit 2024 bekannt und die Hersteller (inkl. Mercedes) hatten eigentlich ewig Zeit, die Sicherheitsupdates in ihre Produkte zu integrieren, bevor die Schwachstelle öffentlich bekannt wurde. Eine sehr schwache Leistung!
Der MBUX-Browser ist ebenfalls ein Sicherheits-Disaster und wird früher oder später zu ähnlichen Schlagzeilen führen.
Zitat:
@eqs_james schrieb am 12. Juli 2025 um 18:45:58 Uhr:
Und überhaupt: wieso jetzt erst? Die Lücke ist seit 2024 bekannt [...]
Weil Mercedes von Software einfach überfordert ist.
"zero-year exploit" gibts bei anderen Herstellern noch mehr ^^ (jaaa, das macht es nicht besser, I know)
Na ja.
Wenn man sich anschaut, was alles zusammenkommen muss, dass die Lücke ausgenutzt werden kann...
Fahrzeug muss im Bluetooth Pairing Modus sein UND man muss der Kopplung des angreifenden Geräts zustimmen. Das heißt, ein Drive-by-Angriff ist unwahrscheinlich (Bluetooth-Reichweite) und man sieht ja auch beim Pairing, dass die angezeigte Nummer nicht zu dem auf dem eigenen Gerät passt. Wer da zustimmt, äh, lernt eine Lektion fürs Leben.
Heutzutage wird jeder Exploit mit fancy Namen, Logo und eigener Website hochgepushed um die Autoren in der Scene bekannt(er) zu machen, was sich dann irgendwann finanziell auszahlen soll….
Hier scheint „dummerweise“ Tesla nicht betroffen zu sein, sonst würde das sicher an erster Stelle stehen….
Zitat:
@rainer__d schrieb am 13. Juli 2025 um 11:43:44 Uhr:
Heutzutage wird jeder Exploit mit fancy Namen, Logo und eigener Website hochgepushed um die Autoren in der Scene bekannt(er) zu machen, was sich dann irgendwann finanziell auszahlen soll….
Hier scheint „dummerweise“ Tesla nicht betroffen zu sein, sonst würde das sicher an erster Stelle stehen….
Das ist aber nicht Ergebnis der "Scene" sondern der Vermarktungsapparat dessen, was früher mal eine seriöse Presselandschaft war. Die Sammlung, Benamung und Kommunikation von Sicherheitslücken ist (noch) in nicht-kommerziellen Händen und unaufgeregt. Solange es Trump noch zulässt.
Das finanziell Interessante findet dann in den Massenmedien statt, die durch reißerische Titel versuchen, möglichst viele Clicks und Werbeeinnahmen zu bekommen.
Und es werden nicht nur solche Befunde gemeldet, für die es auch schon Exploits gibt, sondern auch das, was schon eine theoretische Angreifbarkeit darstellt. Wobei ein Exploit eine Lücke natürlich "hochwertiger" macht.
Bei Bluetooth-Protokollen ist es allerdings so, dass da alle naslang irgendwelche kleineren und größeren Sicherheitslücken entdeckt werden. Weshalb wirklich man für sicherheitsrelevante Kommunikation die Sicherheit dann lieber auf der Anwendungsschicht realisiert.
Zitat:
@Allesquatsch schrieb am 13. Juli 2025 um 16:02:54 Uhr:
Bei Bluetooth-Protokollen ist es allerdings so, dass da alle naslang irgendwelche kleineren und größeren Sicherheitslücken entdeckt werden. Weshalb wirklich man für sicherheitsrelevante Kommunikation die Sicherheit dann lieber auf der Anwendungsschicht realisiert.
In diesem Fall ermöglicht die Lücke allerdings Codeausführung auf der Head Unit: https://pcacybersecurity.com/resources/advisory/perfekt-blue
Bei so einem alten Kernel ist der Weg von einer Shell zu vollem root-Zugriff nicht weit.
Mit „phone user permission“:
also: keine Fremdlinge mit ihrem Telefon zulassen und nicht bei Shell laden ^^
*scnr
Kommt ja nicht von ungefähr, dass zahlreiche Automodelle nicht mehr vertrieben wurden, weil man sie nicht mehr auf die EU-Minimalanforderung zur Security bringen konnte oder wollte.
Zitat:
@uyaem schrieb am 12. Juli 2025 um 20:44:20 Uhr:
Na ja.
Wenn man sich anschaut, was alles zusammenkommen muss, dass die Lücke ausgenutzt werden kann...
Fahrzeug muss im Bluetooth Pairing Modus sein UND man muss der Kopplung des angreifenden Geräts zustimmen. Das heißt, ein Drive-by-Angriff ist unwahrscheinlich (Bluetooth-Reichweite) und man sieht ja auch beim Pairing, dass die angezeigte Nummer nicht zu dem auf dem eigenen Gerät passt. Wer da zustimmt, äh, lernt eine Lektion fürs Leben.
Ja und nein - natürlich ist die konkrete Angriffswahrscheinlichkeit relativ gering, aber der Umgang mit solchen Sicherheitslücken lässt wenig schmeichelhafte Rückschlüsse auf die internen Prozesse beim Hersteller zu. Als Kunde erwarte ich von einem Premium-Hersteller, dass solche Sicherheitslücken behoben werden, bevor sie öffentlich bekannt werden (dass die anderen Autobauer es auch nicht können, ist keine Ausrede 😜).
Die Lücke wurde Mai 2024 an den Zulieferer gemeldet und September 2024 wurden Patches veröffentlicht. OpenSynergy hat Anfang November 2024 Mercedes auch gezielt informiert.
Klar, dass die Bereitstellung der Updates bei der Zahl der betroffenen Modelle nicht in einer Woche erledigt ist. Mercedes hatte aber fast ein Jahr Zeit, OTA-Updates zu veröffentlichen.
Man darf hoffen, dass sowas mit der modularen Architektur bei MB.OS zukünftig einfacher wird ;)
Wobei die Bestandsfahrzeuge ja im Durchschnitt noch etliche Jahre unterwegs sein werden.
oder ist MB.OS auch für bisherige MBUX Fahrzeuge vorgesehen? Das kann ich mir schwer vorstellen, auch wenn es mich freuen würde.
Zitat:
@kappa9 schrieb am 13. Juli 2025 um 20:15:59 Uhr:
Wobei die Bestandsfahrzeuge ja im Durchschnitt noch etliche Jahre unterwegs sein werden.
oder ist MB.OS auch für bisherige MBUX Fahrzeuge vorgesehen? Das kann ich mir schwer vorstellen, auch wenn es mich freuen würde.
Nur neue Fahrzeuge