S12X Patch Diffing with QBinDiff

自動車の世界を、単なる金属とゴムの塊としてではなく、あらゆる部品が互いに語り合う巨大で動く都市として想像してみてください。この都市には、J2497という非常に古く、非常に特殊な言語があり、トラックとそのトレーラーが「私のブレーキは熱い」や「左に曲がっている」といった警告を互いにささやき合うために使用しています。それは、電気配線そのものに組み込まれたトランシーバーのようなものです。長年、エンジニアたちは、トラックの脳（ECU）は最も緊急な「ささやき」だけに耳を傾け、それ以外のことは無視していると考えてきました。しかし、もしその脳が、実は「無意味な雑談」でさえもすべて聞き取り、それを理解しようとしていたとしたらどうでしょう？ それこそが、この論文が投げかける危険な問いです。この論文は、リバースエンジニアリングの世界、つまり、ロックされた玩具を分解してギアがどのように動いているかを確認するような作業へと踏み込み、トラック会社がリリースした「安全対策」が、実は目の前に隠された秘密のセキュリティパッチではなかったのかを探っています。

この論文の著者であるベン・ガーディナーとその同僚たちは、大型トラック用のBendix EC80ブレーキコントローラーに関する大規模な安全リコールについて調査することに決めました。公式の説明では、トレーラーの配線上の「ノイズ」によってトラックの脳が混乱し、クラッシュしてブレーキ性能を失ってしまうため、ファームウェアのアップデートが必要であるとのことでした。会社は、このノイズが問題を引き起こすのを防ぐためのパッチをリリースしました。しかし、研究者たちは疑問に思いました。「ノイズ」とは単なるランダムな静電気だったのか、それともハッカーにとって開け放たれたドアだったのか？

これを知るために、彼らはトラックのソフトウェアを使った「間違い探し」を行いました。彼らは、脳のコードの「前」のバージョンと「後」のバージョン（パッチ適用後）を手に取り、バイト単位で比較しました。それは、膨大な指示書の2つのバージョンを比較するようなものです。古いマニュアルでは、トレーラーが送信できるあらゆる種類のメッセージを聞き取るためのページが何百ページも割かれていました。新しいマニュアルでは、それらのページは引き裂かれ、捨てられていました。

研究者たちは、「安全対策」が単に静電気を掃除しただけではなく、危険なほど壊れていた機能のライブラリ全体を削除したものであることに気づきました。彼らは、古いコードにはトラックが通り抜けられるほど大きな穴が開いていることを発見しました。具体的には、古いソフトウェアに「バッファオーバーフロー」の脆弱性があることを発見しました。10ガロンの水を入れるはずのバケツを想像してください。もし100ガロンの水を注ごうとしたら、バケツは溢れ出し、あちこちにこぼれてしまいます。トラックの脳において、ハッカーは、ごく少量のデータを持っているように見せかけながら、実際には脳に対して、小さなメモリのバケツの中に大量のデータを注ぎ込むよう密かに命じるメッセージを送ることができました。これにより、脳は自身の命令を溢れさせてしまい、ハッカーが制御を奪うことを可能にしてしまったのです。

この論文は、これらの特定の関数を削除することで、パッチが効果的にこれらのドアを閉じたことを裏付けています。彼らは、作業台の上、さらには走行中の車両の中で古いソフトウェアを壊そうと試みることで、これをテストしました。その結果、古いコードを使用している場合、トラックのブレーキをクラッシュさせたり（サービス拒否攻撃）、場合によっては車両を遠隔操作したり（リモートコード実行）できることを発見しました。また、正しく推測できればトラクションコントロールをオフにできる「ハードコードされたパスワード」も見つけました。

この物語で最もエキサイティングな部分は、トラック会社がこれらのセキュリティホールを認めていないことです。彼らはただ、「安全上のバグを修正した」と言っただけでした。しかし、研究者たちは、「安全上のバグ」と「セキュリティの穴」が同じものであることを証明しました。アップデートは単にトラックのクラッシュを防いだだけでなく、ハッカーによる乗っ取りを防いだのです。論文は、このパッチが変装したセキュリティ修正であり、トレーラーの近くにワイヤレス信号を持つ者がこれらの欠陥を悪用する能力を取り除いたものであると結論づけています。これは、デジタル時代において、安全上の問題を解決することは、たとえ誰も口に出さなくても、セキュリティの穴を塞ぐことでもあるということを思い出させてくれます。