Cybellum汽车检测平台被曝漏洞，官方回复！全球汽车安全监管持续升级

（谈思汽车讯）2月21日，有媒体报道称，国外知名产品安全平台Cybellum存在高危漏洞，由于该平台被绝大多数的OEM、Tire1以及检测机构广泛用于固件安全检测与管理，消息一经发布，即引发了业内人士关注。

知名安全平台被曝漏洞

官方反应迅速

据报道，星舆实验室安全研究员@Delikely与中国汽研安全研究员@Imweekend发现该平台存在安全缺陷。

目前，Cybellum已下发更新修复了此漏洞。报道显示，Cybellum于去年6月到9月已向所有客户发布并部署了修复程序，问题的细节也已于今年2月18日对外公开。

对于该漏洞引发的关注，谈思汽车留意到，Cybellum官方第一时间在其官网做出了回复：“星舆实验室和中国汽研网络与数据安全中心的安全研究人员报告的问题存在于Cybellum的QCOW air-gapped的维护服务器中，该发行版仅在中国部署，影响了版本 2.15.5 到 2.27。在版本 2.28 中引入并实施了永久修复。除此之外，我们还检查了易受攻击的系统，没有发现任何被利用的证据。”

下为Cybellum官方回应全文：

据了解，Cybellum产品安全平台是汽车固件安全检测与管理使用最为广泛的产品之一，该平台旨在协助团队在开发全生命周期的每个阶段，从概念设计到开发再到后期生产，都可以识别漏洞。

包括BMW、奥迪、日产、长城、捷豹路虎、合众汽车等主机厂；电装、哈曼、维宁尔、弗吉亚、Mobileye等供应商；中汽中心、中国汽研、赛迪、赛宝等检测机构均是该安全平台的用户，这也是此次漏洞披露引发大规模关注的重要原因。而Cybellum关于漏洞修复及影响程度的反馈结果着实为平台用户打了一针定心剂。

强标发布时间敲定

全球迈进强监管时代

随着智能网联汽车带来更大便捷性的同时，其面对的网络攻击风险日益增加。据Upstream Security发布的《2024全球汽车网络安全报告》显示，2023年，潜在影响数以千计至数百万辆移动资产的高规模和大规模事件的数量比2022年增加了2.5倍，其中95%的攻击是远程执行的，且64%的网络攻击是由黑客执行。

“汽车网络安全正处于一个拐点。网络事件在复杂性和影响力上显著增长，威胁着安全和敏感数据，并带来了运营上的重大影响。威胁者的动机正在转向对连接车辆和移动资产的高规模和大规模影响。” Upstream Security首席执行官兼联合创始人Yoav Levy表示。

除了来自外部的网络攻击风险对车主隐私、车企声誉造成的影响，政府层面的监管也是产业链上下游高度关注汽车网络安全威胁的重要驱动因素。

自2022年7月起，根据欧盟的要求，所有新车型需进行R155和R156法规所要求的型式认证，才能申请整车型式认证（WVTA）；但从2024年7月起，所有新车都必须满足这两项法规的要求，才能上市销售。

值得一提的是，由LG和Cybellum合作设计推出的汽车网络安全管理系统（CSMS）Cockpit平台，能够监视并维护车辆网络安全，简化OEM的网络安全保障和事件响应任务，确保车辆数字安全且符合不断发展的网络安全法规。

目前，小鹏、理想、极氪、上汽、比亚迪等国内车企均陆续获得了R155、R156及VTA认证，迈出了抢占54个海外市场的第一步——出海合规。

谈思汽车整理制表

与此同时，对标R155和R156，国内强标《汽车整车信息安全技术要求》和《汽车软件升级通用技术要求》也推出在即。据业内人士透露，两项强标将于2025年1月发布，并拟于2026年1月正式实施。

智能汽车的落地，首先必须解决网络数据安全难题，随着强标的正式落地，如何卸除悬在头顶的达摩克里斯之剑，这一车企心心念念的痛点将迎来更明晰的解题方向，中国汽车网络数据安全行业的强监管也将迈入常态化，届时，市场反馈及用户驱动将逐步成为智能汽车的新引爆点！

谈思AutoSec作为颇具影响力的汽车网络安全产业标杆会议，将持续携手业内权威大咖，深研汽车安全产业，为行业源源不断地呈现最新洞见和前沿技术实践，同时赋能供需对接及产业创新，引领智能网联汽车安全生态圈发展！ 

内容综合： 

cybellum官网、星舆实验室

-  THE END  -

因文章部分文字及图片涉及到引用，如有侵权，请及时联系17316577586，我们将删除内容以保证您的权益。