车载信息娱乐系统安全也被攻破？在全球黑客大赛中表现抢眼的“Gien”

by Kim Bokyung

Published 03 Feb.2025 07:59(KST)

参与FuntooN Automotive展会…演示安全漏洞

物联网安全专业初创企业“ZIEN”3日表示，该公司在全球黑客大赛“Pwn2Own Automotive 2025”上成功实施了对车载信息娱乐系统的黑客攻击。

Zien研究团队参加“Fontooon Automotive 2025”活动的现场照片。Zien提供

Pwn2Own是由零日倡议（Zero Day Initiative, ZDI）主办的全球黑客大赛，旨在发现并改进汽车行业的安全漏洞。尤其是在电装化、自动驾驶、电动汽车等发展趋势下，汽车正逐渐演变为庞大的电子设备，社会公众和产业界对Pwn2Own的关注度也在逐年提升。本次活动于上月22日至24日在日本东京举行。

参赛者们需要寻找车载信息娱乐系统、网络共享设备、诊断系统等各种车载装置中的安全漏洞并进行现场演示。发现的漏洞会被报告给整车厂，用于实际车辆的安全加固。

ZIEN研究团队在活动现场分析了日本建伍公司车载信息娱乐设备的主机（Head Unit），通过命令注入攻击成功演示了窃取系统权限并获取管理员权限的全过程。具体而言，团队利用已窃取的权限展开进一步分析，在系统内部触发内存冲突，并执行系统控制代码，从而获得管理员权限。

此前，ZIEN研究团队曾在去年向主办方提交了一项关于车载信息娱乐系统（In-Vehicle Infotainment, IVI）未知漏洞的报告，从而获得本次Pwn2Own的参赛资格。IVI是指集成导航、车辆状态监控、电话通话等功能的车载信息娱乐系统。由于IVI与多个设备保持长期连接，被视为汽车安全的核心环节之一，同时也是重要的潜在薄弱点。