Три американских автопроизводителя отозвали свои грузовики из-за уязвимости в блоке управления томозами

Блок EC80 управляет тормозами, антиблокировочной системой и устойчивостью грузовика и обменивается данными по протоколу J2497, который с 2001 года остаётся единственным отраслевым стандартом для передачи сигнала о состоянии ABS прицепа на тягачах класса 8 в Северной Америке. В 2024 году три автопроизводителя отозвали около 450 тысяч грузовиков с такими блоками.  

Старший инженер по кибербезопасности Национальной ассоциации автомобильных грузоперевозок (NMFTA) Бен Гардинер сравнил прошивку до и после обновления: из блока вырезали десятки функций. Среди них — лазейка для удалённого выполнения кода, способ обрушить систему и жёстко прописанный пароль, отключающий противобуксовочную систему, пишут в Securitylab.

Добраться до J2497 можно без физического доступа к грузовику — через уязвимость беспроводной связи 2022 года или взломанное устройство слежения за прицепом. Проверяя это, специалисты NMFTA подали сигнал через диагностический порт программно определяемой радиостанцией — и у грузовика на ходу начали пропадать отдельные функции управления.

На скорости менее 8 и около 14,5 км/ч шина CAN замолкала: гас спидометр, пропадала помощь при рулении и переключении передач, пульсировала антиблокировочная система. Вернуть блок к жизни удавалось только физическим отключением аккумулятора.

В NMFTA признают, что последствия зависят от обстоятельств: договоры запрещают водителям движение в таком состоянии, а для восстановления нужен инструмент дилера. Связать сбой с реальной аварией сложно — руль и тормоза остаются у водителя, — но теоретически неисправность могли бы использовать, чтобы остановить грузовик при попытке кражи груза.

Bendix сочла последствия серьёзными для массового отзыва автомобилей, но ни одна уязвимость не получила CVE — по мнению Гардинера, это скрывает истинный смысл отзыва, поданного как вопрос безопасности эксплуатации. NMFTA уведомила Bendix, двух из трёх производителей и ведомства безопасности движения США и Канады заранее.