[IoT 취약점] Harman-Kardon Uconnect Vulnerability(ICSA-15-260-01)] 자동차 인포테인먼트 시스템 보안 취약점

 

[이미지출처: AUTOMOTIVE "스마트 카의 인포테인먼트 서비스와 스마트폰 연결기술"]

 

 

자동차의 인포테인먼트 서비스는를 AUTOMOTIVE의 "스마트 카의 인포테인먼트 서비스와 스마트폰 연결기술" 기사 에서는 다음과 같이 설명합니다. 내용을 그대로 옮깁니다.

 

"Infotainment는 information과 Entertainment의 합성어로 사전의 정의에 따르면, “information-based media content or programming that also includes entertainment content in an effort to enhance popularity with audiences and consumers”다. 즉 각종 정보와 엔터테인먼트 요소를 결합해 소비자에게 더 높은 가치를 만들어내는 콘텐츠 등을 말한다[1]. 스마트 카는 다양한 방식을 통해 IT 인프라에 연결돼 운전자에게 인포테인먼트 서비스를 제공할 수 있는 차량을 의미한다. 이는 기존 피처폰으로 대표되던 휴대전화 시장에 강력한 네트워킹과 인포테인먼트 기능으로 무장한 스마트폰이 새로운 제품 카테고리를 만들어낸 것에 비견될 수 있다. 즉 스마트 카는 IT 기술을 이용한 인포테인먼트 시스템과 이를 뒷받침하는 외부 네트워크와의 연결(Connectivity)이 결합된 자동차라 정의할 수 있다. 일부 자동차 제조사는 언제 어디서나 인터넷과 연결돼 교통정보, 뉴스, 각종 엔터테인먼트를 즐길 수 있다는 점에서 스마트 카를 커넥티드 카(connected car)라고 칭하기도 한다."

 

 

즉, 스마트 카의 핵심 기능으로서 Car Life의 질을 높여 주는 연결 기술 및 그 시스템이라고 할 수 있겠습니다.

그런데 그 연결 기술의 하나인 "UConnect 8.4AN/RA3/RA4"에 취약점(Harman-Kardon Uconnect Vulnerability(ICSA-15-260-01)이 보고 되었습니다.

 

이 취약점에 노출 된 제품 및 자동차는 다음과 같습니다.

 

• 2013-2015 Ram 1500/2500/3500/4500/5500,
• 2013-2015 Dodge Viper,
• 2014/15 Jeep Cherokee/Grand Cherokee,
• 2014/15 Dodge Durango,
• 2015 Chrysler 200/300,
• 2015 Dodge Challenger,
• 2015 Dodge Charger, and
• 2015 Jeep Renegade.

 

다행히 국산은 없는 것 같습니다. ^^

 

UConnect Infotainment System은 차량 제어 장치에 직접 액세스가 가능한데요.

하필이면 여기에 "인증 없이 접근"이 가능한 취약점이 존해하는 것입니다.

 

현재는 Sprint Network에서 접근 포트를 차단한 상태이고 취약점이 노출된 자동차사도 실험을 완료했다고 합니다. 당연히 해당 자동차의 소유자들은 패치가 되기 전까지는 위험에 노출된 상태입니다.

 

 

-취약점 경고 보기(Advisory): Harman-Kardon Uconnect Vulnerability(ICSA-15-260-01

-스마트 카의 연결기술에 대해 자세히 알기: "스마트 카의 인포테인먼트 서비스와 스마트폰 연결기술"