Les chercheurs à but non lucratif d'Usenix ont découvert 128 vulnérabilités dans les systèmes Bluetooth utilisés dans les voitures modernes. La découverte est devenue possible grâce à une nouvelle boîte à outils, un cadre Bluetoolkit, qui a été présenté en 2025.
Cet outil est spécialement conçu pour les tests de sécurité automatisés du protocole Bluetooth Classic. Bluetoolkit est très flexible. Il permet d'ajouter de nouveaux scénarios de test via des fichiers de configuration YAML, compatibles avec une large gamme d'équipements (dont ESP32 et Nexus 5) et résume le fonctionnement de collections célèbres comme Braktooth et Blueborne. La principale caractéristique est la possibilité de tests de connexion sans fil via une communication sans fil, ce qui permet une analyse de sécurité des systèmes d'information sans accès physique aux composants internes de la voiture.
Les chercheurs ont vérifié les modèles de 14 grands constructeurs automobiles, produits entre 2015 et 2023. L'analyse a découvert 128 failles de sécurité. En particulier, 21 dessins de conception des protocoles et 46 défauts liés à une mise en œuvre inappropriée de ces protocoles ont été constatés.
Le rapport décrit quatre catégories d'attaques possibles. Le plus important est l’attaque du compte utilisateur. Utilisés conjointement avec les attaques « Man Average », les attaquants peuvent intercepter des messages SMS ou des données transférées manuellement depuis le HFP, passer l'identification à deux corps et obtenir le contrôle total des comptes.
Parmi les marques testées, Skoda a montré le moins de vulnérabilités. En 2023, ENYAQ n’a montré aucune lacune sur 30 tests. La Tesla Model Y 2023 a montré deux défauts. L’Audi A5 de 2020 et l’E-Tron présentaient respectivement quatre et six défauts.
Le plus grand nombre de vulnérabilités a été enregistré dans les modèles suivants : Renault Megane 2021 (13), Toyota Corolla (9) et BMW X2 (10).
Traduction de : Euromedia24.com
