El problema principal reside en el System-on-Chip Unisoc UIS7862A, un componente ampliamente utilizado en las unidades principales de los vehículos modernos. Este chip integra un módem responsable de la conectividad 3G, 4G y 5G. Los atacantes pueden explotar las debilidades de este módem para obtener una entrada inicial. Una vez dentro, pueden moverse lateralmente al procesador de aplicaciones, tomando efectivamente el control del sistema operativo del salpicadero y comprometiendo los datos del usuario. Los analistas de Securelist identificaron un fallo crítico en la implementación del protocolo 3G RLC del módem. Al analizar el firmware, descubrieron que el mecanismo para gestionar la fragmentación de paquetes de datos carece de comprobaciones de límites suficientes. Esta omisión permite a los atacantes remotos ejecutar código arbitrario en el procesador del módem, evitando así las medidas de seguridad celulares estándar antes de que se establezca un canal seguro. El descubrimiento destaca la fragilidad de los componentes de "caja negra" en las cadenas de suministro automotrices.

Explotando el Desbordamiento de Búfer Basado en la Pila

La raíz técnica de esta vulnerabilidad es un desbordamiento de búfer basado en la pila en la función que analiza las Unidades de Datos de Servicio entrantes. El protocolo permite un número ilimitado de encabezados opcionales en un paquete, señalados por un valor de bit específico. El algoritmo de análisis procesa secuencialmente estos encabezados y escribe datos en una variable de pila. Sin embargo, la profundidad de la pila está estrictamente limitada a 0xB4 bytes, mientras que el tamaño del paquete malicioso puede alcanzar hasta 0x5F0 bytes. Un atacante puede activar este desbordamiento enviando un único paquete malformado con suficientes encabezados para exceder el búfer de la pila. Como la función carece de protección de canary de pila, esta acción sobrescribe la dirección de retorno. Los investigadores utilizaron técnicas de Programación Orientada a Retorno para eludir las restricciones de pila no ejecutable. Construyeron una cadena ROP que redirigió la ejecución al manejador de comandos AT+SPSERVICETYPE, permitiéndoles así transferir datos a la RAM.

// Pseudo-representación de la lógica de análisis vulnerable
void process_sdu_headers(packet_data *sdu) {
    uint16_t header_stack[0x5A]; // Búfer de 0xB4 bytes
    while (sdu->has_more_headers) {
       // Escribe más allá del búfer sin comprobar los límites
       header_stack[index++] = read_next_header(); 
    }
}

Al explotar esta corrupción de memoria, los atacantes ejecutaron su propio código, como lo demuestra el parcheado de la tabla de unidades de protección de memoria para otorgar permisos de escritura. Este acceso finalmente les permitió comprometer el kernel de Android y ejecutar aplicaciones arbitrarias en la unidad principal del coche.

Fuentes:
https://cybersecuritynews.com/hackers-could-take-control-of-car-dashboard/