大众信息娱乐单元存在多个漏洞，可用于实时追踪车辆位置

由Danila Parnishchev 和 Artem Ivachev 牵头的团队在M1B3 信息娱乐系统中找到了12个漏洞。该系统在2021年推出，目前用于多个大众集团车型中。大众集团并非M1B3信息娱乐系统的制造商，而是从一级供应商处采购。这些供应商包括均联智行、LG和安波福。安全专家分析的是由均联智行制造的MIB3单元。

这些漏洞影响斯柯达速派III Sedan的最新车型。研究人员在欧洲黑帽大会上演示了这些漏洞。研究人员曾在2022年从大众汽车中找到21个漏洞，其中9个在2023年修复。

研究人员在蓝牙电话簿同步流程中发现一个漏洞。电话簿由具有特定结构的 vCard 序列组成，他们从处理联系人照片的过程中发现了一个严重漏洞，改变与联系人相关的照片将触发缓冲溢出，从而可能导致任意代码执行后果。攻击者可利用该漏洞实时访问汽车的GPS数据、访问联系人列表、监控车速、记录车内对话、播放声音并截取信息娱乐截屏。无需身份认证的攻击者可在距离目标几米的距离利用该漏洞。

研究人员发现的漏洞如下：

大众集团证实称其中一些问题已修复，另外一些还在着手准备。斯柯达的一名发言人提到，“随着产品生命周期管理的不断改进，报送的信息娱乐系统漏洞有些已修复，有些正在修复，有些已被消除。过去以及现在，这些漏洞均未对客户或车辆造成任何安全后果。”