Pwn2Own Automotive 2024落幕，共揭露49个零日漏洞
内容提要
Pwn2Own Automotive 2024安全竞赛发现49个零日漏洞，特斯拉被成功攻破两次。汽车攻击面扩大，制造商需加强安全措施。
延伸解读
特斯拉为何成为重点攻击目标
特斯拉在本次赛事中被Synacktiv团队二度攻破，反映出其作为智能电动汽车代表，拥有更复杂的联网功能和更大的攻击面。团队通过3个零日漏洞获取调制解调器root权限，又利用两个漏洞链控制信息娱乐系统，说明特斯拉的远程通信和车载系统是攻击者关注的重点。这提醒制造商，功能越丰富，潜在漏洞可能越多。
信息娱乐系统与控制系统隔离不足的风险
专家指出，信息娱乐系统是当前汽车最大、最明显的攻击面，它承载蓝牙、Wi-Fi等主流计算功能，容易引入漏洞。当信息娱乐系统与刹车、车头灯等控制系统通过CAN总线连接时，攻击者可能利用漏洞链突破隔离，威胁车辆安全。目前这种隔离“壁垒”尚未得到很好开发，成为亟待解决的安全隐患。
漏洞修复窗口与厂商责任
根据规则，被披露漏洞的厂商有90天时间修复，之后才可公开披露。这给了厂商缓冲期，但也意味着漏洞细节最终会公开，可能被恶意利用。汽车制造商需在有限时间内有效修补漏洞，并意识到安全措施是必须的，不能因追求发展速度而忽视。
Q&A
Pwn2Own Automotive 2024是什么活动？
Pwn2Own Automotive 2024是由趋势科技举办的首届专门针对汽车领域的Pwn2Own安全竞赛，为期3天，于1月26日结束。
Pwn2Own Automotive 2024发现了多少个零日漏洞？奖金总额是多少？
共发现49个与汽车相关的零日漏洞，累计发放超过130万美元奖金。
特斯拉在Pwn2Own Automotive 2024中被攻破了几次？是谁攻破的？
特斯拉被攻破两次，均由来自法国图卢兹的Synacktiv团队完成。
Synacktiv团队是如何攻破特斯拉的？获得了什么权限？
第一天利用3个零日漏洞获得特斯拉调制解调器的root权限；第二天利用两个漏洞链攻击了信息娱乐系统。
Synacktiv团队在Pwn2Own Automotive 2024中获得了多少奖金？
该团队通过攻破特斯拉获得20万美元，加上其他目标共获得多笔奖金，具体总额未明确，但赛事总奖金超130万美元。
汽车网络安全面临的主要挑战是什么？
汽车攻击面正在扩大，制造商不断添加无线连接和远程访问功能；信息娱乐系统与控制系统之间的安全隔离尚未有效开发，存在安全隐患。
专家对汽车网络安全有什么建议？
专家认为需要将主流计算与控制系统隔离，形成壁垒，并希望外部干预促使厂商加强安全措施，因为安全举措是必须的。
