マツダコネクト脆弱性:USBで車両システムへの侵入が可能に – 6つの未修正バグを発見

マツダの車載インフォテインメントシステム「マツダコネクト」に6つの重大な脆弱性が発見されました。USBを介して車両の制御システムにアクセスできる可能性があり、自動車のサイバーセキュリティに警鐘を鳴らしています。マツダ3やCX-3などの最新モデルが影響を受ける可能性があり、現時点で修正パッチは未リリースです。 - innovaTopia - (イノベトピア)

Last Updated on 2024-11-11 16:20 by admin

マツダの車載インフォテインメントシステムに6つの重大な脆弱性が発見された。この発見は2024年11月9日、セキュリティ研究機関Trend Microのゼロデイ・イニシアチブ(ZDI)によって公表された。

影響を受けるのは、ミシガン州に本社を置くVisteon Corporation社が開発したマツダコネクト・コネクティビティ・マスターユニット(CMU)を搭載した車両で、具体的にはマツダ3やCX-3、CX-5、CX-9などの最近のモデルが該当する。

発見された6つの脆弱性は以下の通り:

  • CVE-2024-8358、8359、8360:ソフトウェアアップデート時のファイル処理に関する脆弱性
  • CVE-2024-8357:Linux搭載SoCの起動プロセスにおける認証欠如
  • CVE-2024-8355:Appleデバイス接続時のSQL注入の脆弱性
  • CVE-2024-8356:CMUソフトウェアアップデートプロセスの検証欠如

これらの脆弱性は、USBデバイスを車両のセンターコンソールに物理的に挿入することで悪用が可能となる。最も深刻な脆弱性であるCVE-2024-8356では、車両の中枢システムであるCANバスへのアクセスが可能となり、エンジンやエアバッグなどの重要な制御システムに影響を与える可能性がある。

本稿執筆時点(2024年11月9日)で、これらの脆弱性はすべて未修正の状態にある。共通脆弱性評価システム(CVSS)によるスコアは現時点で未評価である。

from:6 Infotainment Bugs Allow Mazdas to Be Hacked With USBs

【編集部解説】

特筆すべきは、これらの脆弱性が最新のソフトウェアバージョン(74.00.324A)で発見されたという点です。これは、長年市場に出回っている成熟した自動車製品であっても、重大な脆弱性が潜んでいる可能性を示しています。

実は、マツダコネクトシステムには活発な「Mod」コミュニティが存在しており、以前からカスタマイズ目的でこれらの脆弱性が利用されてきた経緯があります。しかし、今回の発見はそれとは異なり、車両の安全性に直接影響を与える可能性がある深刻なものです。

特に注目すべきは、CANバスへのアクセスを可能にする脆弱性です。CANバスは車両の神経系統とも言える制御ネットワークで、エンジン、ブレーキ、エアバッグなどの重要なシステムを接続しています。この脆弱性が悪用された場合、車両の安全性に関わる深刻な問題となる可能性があります。

しかし、過度な懸念は不要かもしれません。これらの脆弱性を悪用するためには、物理的なUSBアクセスが必要です。また、マツダによると、マツダコネクトで制御できる機能は限定的で、ステアリング、アクセル、ブレーキなどの直接的な車両制御には影響しないとされています。

将来的な課題として、自動車業界全体でのセキュリティ対策の強化が求められます。特に、ハードウェアの設計段階からセキュリティを考慮する「セキュリティ・バイ・デザイン」の考え方が重要になってきています。

また、この事例は自動車のソフトウェアアップデート方法についても再考を促しています。無線経由のアップデート(OTA)の重要性が指摘されており、BMWやメルセデス・ベンツなどはすでにOTAによるセキュリティ更新を実装しています。

今後、自動車はますますコネクテッド化が進み、決済機能なども追加されていく可能性があります。そのため、セキュリティリスクは単なる車両制御の問題だけでなく、個人情報や決済データの保護にも及ぶことが予想されます。

【用語解説】

  • CANバス
    車両内の電子制御ユニット(ECU)間の通信を可能にするネットワーク
  • CMU
    マツダコネクトの中核となるハードウェア
  • VIP MCU
    車両制御システムとの通信を担当するマイクロコントローラー
  • Mod:
    「Modification(変更・修正)」の略語で、ゲームにおいて、ユーザーが作成した改造データや拡張コンテンツを指す。

【参考リンク】

  1. Visteon Corporation公式サイト(外部)
    マツダコネクトのCMUを製造する自動車部品メーカーの企業情報とソリューション紹介
  2. Zero Day Initiative(外部)
    今回の脆弱性を発見したTrend Microのセキュリティ研究プログラムの詳細情報

【関連記事】

サイバーセキュリティニュースをinnovaTopiaでもっと読む

ホーム » サイバーセキュリティ » サイバーセキュリティニュース » マツダコネクト脆弱性:USBで車両システムへの侵入が可能に – 6つの未修正バグを発見