点击上方蓝字谈思实验室
获取更多汽车网络安全资讯
根据GitHub的一份报告，大众汽车Discover Media信息娱乐系统的漏洞是在2023年2月28日发现的。
该漏洞可能会使未打补丁的系统遭到拒绝服务（DoS）攻击。该漏洞起初是由大众汽车的用户发现的，随后大众汽车方面确认了该漏洞，漏洞的标识为CVE-2023-34733。
根据GitHub的报告，发现并报告该漏洞的人所使用的车型是大众捷达2021。根据NIST的报告，该漏洞的评分是6.8，是一个中等严重漏洞。
起初该用户将他的笔记本电脑连接到大众汽车的USB端口，并用模糊器生成媒体文件。随后进行模糊测试，以找出大众汽车媒体系统的漏洞。该实验是在包括MP3、WMA、WAV等媒体文件上进行的。
该用户在GitHub上写道，"由于大众汽车的媒体播放器比预期的更强大，我专门为大众汽车的信息娱乐系统创建了一个单独的媒体文件模糊器。我每天模糊处理2万多个媒体文件，经过一天的模糊测试，发现了OGG文件的漏洞"。
然后通过模糊测试识别了一个媒体文件，导致大众汽车媒体系统中的漏洞被触发。这也导致了大众汽车信息娱乐系统在关闭后无法打开。
当USB插入端口时，媒体文件会自动播放，信息娱乐系统会被强行终止，这个现象可以通过手动重启大众汽车信息娱乐系统来解决。
据观察，该漏洞可能导致远程代码执行等安全问题。
该漏洞是在大众汽车媒体信息娱乐系统软件版本0876中发现的。在收到用户的这份报告后，德国汽车巨头对该漏洞进行了确认。
大众汽车给用户的回复截图（照片：GitHub）
该公司让其事件响应小组分析了大众汽车信息娱乐系统的漏洞，后来又让研发部门分析了这个漏洞。随后他们向上述电子邮件截图中名为 "zj3t "的用户确认了该漏洞，并表示该漏洞是一个产品质量的问题，会及时改进。
AutoSec 2023 第七届中国汽车网络安全周暨第四届智能汽车数据安全展，9月13-15日，上海
更多文章
智能网联汽车信息安全综述
华为蔡建永：智能网联汽车的数字安全和功能安全挑战与思考
汽车数据合规要点
车载以太网技术发展与测试方法
车载以太网防火墙设计
SOA：整车架构下一代的升级方向
软件如何「吞噬」汽车？
汽车信息安全 TARA 分析方法实例简介
汽车FOTA信息安全规范及方法研究
联合国WP.29车辆网络安全法规正式发布
滴滴下架，我却看到数据安全的曙光
从特斯拉被约谈到车辆远程升级（OTA）技术的合规
如何通过CAN破解汽
会员权益: (点击可进入)谈思实验室VIP会员
谈思实验室专注智能汽车信息安全、预期功能安全、自动驾驶、以太网等汽车创新技术，为汽车行业提供最优质的学习交流服务，并依托强大的产业及专家资源，致力于打造汽车产业一流高效的商务平台。
每年谈思实验室举办数十场线上线下品牌活动，拥有数十个智能汽车创新技术的精品专题社群，覆盖BMW、Daimler、PSA、Audi、Volvo、Nissan、广汽、一汽、上汽、蔚来等近百家国内国际领先的汽车厂商专家，已经服务上万名智能汽车行业上下游产业链从业者。专属社群有：信息安全、功能安全、自动驾驶、TARA、渗透测试、SOTIF、WP.29、以太网、物联网安全等，现专题社群仍然开放，入满即止。
扫描二维码添加微信，根据提示，可以进入有意向的专题交流群，享受最新资讯及与业内专家互动机会。
