مسار تحديث USB في هوندا سيفيك يفتح باب هجوم EvilValet

بعد ثلاث سنوات من نشره أول بحث له في الهندسة العكسية لوحدة الوسائط (head unit) في هوندا سيفيك موديل 2021، نشر المطوّر إريك ماكدونالد تحديثاً للمشروع يصف فيه مسار تحديث يعمل بالكامل، وثغرة يسميها "EvilValet".

مفاتيح المملكة

تدعم هوندا تحديث الوحدة عبر منفذ USB. يحمل القرص ملف تحديث موقّعاً من AOSP يُهيأ ويُطبَّق عبر وضع الاسترداد Android recovery، وأضافت هوندا فحوصات خاصة بها إلى العملية. وبحسب الكاتب، تُبطل خطأ بسيط هذه الفحوصات: فقد بقي مفتاح الاختبار المعروف علناً في AOSP داخل مجلد res/keys، ورغم أن هوندا عدّلت ملف recovery الثنائي، فإن منطق التحقق من التوقيع في verify_file مطابق لنسخة AOSP الأصلية.

النتيجة أن أي شخص قادر على تهيئة قرص USB وتوقيعه بذلك المفتاح يستطيع تثبيت ما يشاء على الوحدة دون صلاحيات root تقليدية. ويكفي الوصول الفيزيائي إلى منفذ USB الأمامي لتنفيذ كود عشوائي عبر مسار التحديث.

هجوم "الخادمة الشريرة" داخل السيارة

يصف ماكدونالد ذلك بهجوم evil maid انتقل من غرفة الفندق إلى مقصورة السيارة: صحفي يترك سيارته لدى خدمة صف السيارات، فيثبّت العامل الذي يعمل لصالح جهة استخباراتية تحديثاً عبر USB، وتعود السيارة بوحدة معدّلة دون أي أثر ظاهر.

كما نشر أداة ota-builder في مرحلة مبكرة، وهي تُعدّ ملفات تحديث تقبلها الوحدة، وهو ما يكفي من حيث المبدأ لتثبيت ملف su مع صلاحية setuid والحصول على root في الجهاز. وهناك تحفّظ واحد: لديه أسباب قوية للاعتقاد بأن كل التحديثات موقّعة بمفتاح اختبار AOSP، لكنه لا يستطيع فحص كل ملف رسمي أو كل نسخة من الوحدة، كما أن HondaHack كان مثبتاً على جهازه. ومع ذلك، فإن ملف تحديث أوروبي متاح للعموم، حُمّل من منتدى ولم يعدّله، موقّع بمفتاح الاختبار.

أدوات بدل التوثيق

يتناول الجزء الثاني أداة apk-rebuilder التي تأخذ ملف تحديث سيفيك وتنتج شجرة ملفات نظيفة: موارد محلولة، وكود .smali مستعاد، وملفات APK معاد تجميعها، وramdisk مستخرج، ما يؤتمت عملاً كان مهندسو الهندسة العكسية يقومون به يدوياً. ولأن نشر كود هوندا الأصلي غير ممكن، يوفر المشروع دالة تحوّل ملف التحديث إلى كود .smali وأصول صور.

ومن المسارات المفتوحة الأخرى جدول إصدارات display-audio المعروفة، وسلسلة أدوات ARMv7 تجريبية تطابق إصدار مُصرِّف الشركة وأعلام البناء، وثيمات مخصصة تتطلب تحريراً جراحياً في نسخة ميتسوبيشي المعدّلة من إطار AOSP، وأداة aidl-rebuilder التي ترسم واجهات AIDL وقد تفتح الباب لتطبيقات مثل عدادات سرعة افتراضية. ويقول ماكدونالد إن معظم البحث الذي خطط له انتهى وأنه سينتقل على الأرجح إلى مشاريع أخرى، مع بقاء pull requests مرحّباً بها.