D1/100
脆弱性 · 高
一部自動車メーカーで遠隔解錠できる脆弱性 トヨタ車も対象の可能性
ティアD · 参考情報 – 知っておくと良い
影響を受ける人： 一部自動車メーカーの車両（トヨタ・レクサスの可能性）
ティアDの理由： 開発者に影響しない
影響範囲
攻撃
被害
修正
要点
- 一部の自動車メーカーのシステムに脆弱性があり、車のドアを遠隔操作で解錠したりエンジンを始動したりできる状態だった
- セキュリティ研究者がこの脆弱性を報告した
- メーカー名は公表されていないが、トヨタとレクサスが該当する可能性が指摘されている
なぜ重要か
車両を遠隔から操作できる機能を持つサービスを開発する場合、リモートからの操作経路における認証・認可の設計を点検する必要がある。
ティアの根拠となったチェックリスト
チェックリスト · 10項目中0項目が「はい」
| いいえ | 開発者に影響 | 自動車は開発者や運用チームが使うソフトウェアや業務用機器ではなく、一般消費者の車両である。 |
| いいえ | 基幹インフラ | 自動車メーカーの個別システムの脆弱性であり、ほぼすべてのチームが運用する基幹ソフトウェアではない。 |
| いいえ | 人気ツール | 対象は車両とメーカーのシステムで、広く使われる開発技術やフレームワークではない。 |
| いいえ | 悪用確認済み | GIGAZINE: セキュリティ研究者が報告したとのみ記され、実際の攻撃観測は報じられていない。 |
| いいえ | 公開エクスプロイト | GIGAZINE: 研究者による報告とされ、エクスプロイトや詳細な手順の公開は記されていない。 |
| いいえ | 認証不要のリモート攻撃 | GIGAZINE: 遠隔操作で解錠できると報じるが、認証の要否は記載されていない。 |
| いいえ | 完全な乗っ取り | GIGAZINE: ドア解錠とエンジン始動は報じられるが、コード実行や管理者権限の取得は記載されていない。 |
| いいえ | シークレットの流出 | GIGAZINE: 認証情報や利用者データの持ち出し、露出は報じられていない。 |
| いいえ | サプライチェーン | GIGAZINE: 正規ソフトウェアの配布経路を通じた悪意あるコードの配布は報じられていない。 |
| いいえ | 修正なし | GIGAZINE: 修正の有無やメーカーの対応状況は記載されていない。 |