文章摘要
研究人员发现沃尔沃与Eicher合资企业的“My Eicher”车队管理系统存在API漏洞，可绕过认证访问内部管理接口，实现账户劫持并控制整个车队（含数百辆车），导致大量用户和车辆数据暴露。
文章总结
好的，这是根据您的要求，对原文主要内容进行的中文重述，保留了关键细节，并删除了与主题无关的冗余内容。
标题：利用沃尔沃/埃契尔的车队管理平台漏洞，控制所有用户和车辆
核心摘要：
- 目标系统： 沃尔沃集团与埃契尔汽车公司的合资企业“VE商用车”为印度商用车客户开发的车队管理系统“My Eicher”。该系统号称能让车主和车队管理者通过先进的远程信息处理平台，以前所未有的方式掌控车队。
- 核心漏洞： 在My Eicher的API中发现了一个漏洞，攻击者能够发现隐藏的、无需认证的内部/管理API。利用这些API可以获得系统的高级访问权限，甚至实现账户接管。
- 攻击后果： 账户接管使攻击者能够完全控制个人或公司的整个车队，这些车队可能包含数百辆车辆。
- 数据泄露规模： 截至2024年11月，官方宣布该系统注册了27.5万辆车辆和11.5万客户。但通过API获取的数据量远高于此，包括：74.8万客户、17.4万用户、18.6万人、67.6万车辆以及7.6万份文件（包括Aadhaar卡、驾照等敏感证件）。
漏洞发现过程：
作者在尝试寻找My Eicher漏洞一年多后，偶然发现了突破口。网站首页用于验证手机号的API路径（https://www.myeicher.in/cepauthmgr/user/）在浏览器中直接访问时，意外地返回了一个包含所有用户相关API的完整列表，并且这些API无需任何身份验证即可访问。
攻击方法：
- 获取用户列表： 通过未认证的“customers”等API端点，攻击者可以获取到包含74.8万客户在内的所有账户信息。
- 获取OTP（一次性密码）： 存在一个API，可以返回自2021年以来所有250万个OTP的完整列表，甚至可以根据特定手机号查询其对应的OTP。
- 账户接管： 攻击者选择一个目标手机号，触发系统发送OTP。然后利用上述API获取该手机号对应的OTP，即可登录目标账户，实现完全控制。
- 副作用： 此方法会向目标用户发送OTP通知，并非静默攻击。
- 静默攻击方法： 存在另一个API可以直接修改账户密码，攻击者设置新密码后即可登录，且用户可能不会收到通知。
攻击者可访问的内容：
- 查看所有67.6万辆车辆的详细信息。
- 在地图上实时追踪所有车辆的位置。
- 查看单个车辆的详细追踪信息，包括模拟的实时仪表盘（显示驾驶员看到的数据）。
- 访问用户上传的7.6万份敏感文件，如Aadhaar卡和驾照。
漏洞披露时间线：
- 2025年11月3日： 向VE商用车公司报告漏洞。
- 2025年11月10日 & 17日： 因未收到回复，多次跟进。
- 2025年11月20日： 内部API访问被关闭，主要漏洞得到修复。
- 2026年7月27日： 公开披露此漏洞。
作者在主要漏洞修复后，曾尝试联系该公司报告其他担忧，但未能成功与相关负责人取得联系。
评论总结
根据评论内容，总结如下：
主要观点一：对汽车依赖云端管理的安全性与可靠性表示担忧（评分：无） - 评论者指出，现代汽车完全受制于云端管理软件的安全性和正确性，一旦无法联网，车辆可能无法正常启动。 - 关键引用：spockz 提到“You are at the complete merci of the security and correctness of the cloud management software for the correctly functioning of the car.”（你完全受制于云端管理软件的安全性和正确性，才能确保汽车正常运作。） - 关键引用：spockz 举例“a guests BMW didn’t want to ‘start’ anymore because it couldn’t phone home because of lack of phone reception.”（一位客人的宝马车因无手机信号无法联网而无法启动。）
主要观点二：区分真正的用户安全与公司的诉讼保护（评分：无） - 评论者认为，存在两种安全：一种保护用户，另一种只是为公司提供诉讼保护，两者有时重叠但本质不同。 - 关键引用：Xeoncross 指出“There is security that protects users and then there is security theater that provides litigation protection for the company.”（有保护用户的安全，也有为公司提供诉讼保护的安全表演。）
其他观点： - 评论1（darknavi）对漏洞报告后近一年的修复时间线表示惊讶，认为时间过于宽裕。 - 评论2（nhance）表达了对这类内容的喜爱，并好奇强大AI对此类问题的影响。 - 评论5（superloika）推荐了FSF关于汽车维修权的视频，强调维修权的重要性。