Subaru車聯網爆重大漏洞，攻擊者可遠端控制車輛、追蹤位置

資安研究人員Shubham Shah與Sam Curry發現，Subaru車聯網系統STARLINK（非SpaceX星鏈服務Starlink）管理面板存在一項重大安全漏洞，此漏洞允許攻擊者利用車主個人基本資訊對車輛進行遠端控制，包括啟動引擎、解鎖車門，以及查詢精確到5公尺內的車輛歷史位置記錄。該漏洞影響範圍廣泛，涵蓋所有美國、加拿大及日本連接STARLINK的車輛。經研究人員回報後，Subaru已在24小時內完成修補，並聲明未發現有惡意濫用的情況。

此次安全事件的核心問題在於，攻擊者只需極少的車主資訊例如姓氏和郵遞區號，便能存取並控制特定車輛。此外，管理面板還可存取車主的個人資料，如地址、緊急聯絡人及帳單資訊，甚至能查詢過去一年車輛位置記錄。這些資訊的洩露不僅侵犯個人隱私，更可能被有心人士用於惡意目的，例如精確追蹤車輛位置。

STARLINK系統的漏洞源於管理面板的多項設計缺陷。其中，密碼重設功能在沒有任何驗證機制，如確認信或一次性密碼的情況下，允許任何人僅憑電子郵件地址即可重設帳戶密碼。此外，儘管系統有實作雙因素驗證（2FA），但其驗證流程僅在客戶端執行。攻擊者發現，透過移除網頁程式碼中觸發雙因素驗證彈出視窗的JavaScript函式，即可完全繞過驗證，直接取得後端系統的完整操作權限。

系統對管理面板使用者的電子郵件存取也缺乏嚴格限制，攻擊者可利用API介面，像是安全問題查詢功能，透過提交不同的電子郵件地址測試其有效性，列舉出合法的員工帳戶資訊，進一步接管帳戶並繞過身分驗證。

廠商雖然迅速修復了漏洞，但該事件暴露出STARLINK車聯網系統存在權限管理與資料保護的結構性問題，包括過於寬鬆的員工權限設計、缺乏完善的API安全防護機制等。 研究人員指出，Subaru員工擁有相當大的資料存取權限，例如一個18歲員工可以跨州查詢車主的敏感資訊，而且不會觸發任何警報。