Technisch overzicht: Monitoring van kwetsbaarheden in volgende generatie automotive besturingssystemen

Probleemstelling

De automotive industrie ondergaat een radicale transformatie naar Software-Defined Vehicles (SDV's), waarbij de verschuiving plaatsvindt van gedistribueerde, propriëtaire Electronic Control Units (ECU's) naar zone-architecturen gebaseerd op geconsolideerde High-Performance Computers (HPC's). Deze evolutie steunt zwaar op POSIX-compatibele besturingssystemen (bijv. Automotive Grade Linux, Android Automotive OS, Red Hat In-Vehicle OS) om virtualisatie, containerisatie en Over-The-Air (OTA) updates te ondersteunen.

Hoewel deze convergentie de uitrol van functies versnelt, vergroot het de aanvalsoppervlakte van het voertuig aanzienlijk. De integratie van complexe, onderling verbonden softwarestacks introduceert kwetsbaarheden die gebruikelijk zijn in traditionele computing (bijv. Remote Code Execution, Local Privilege Escalation) in zowel veiligheidskritische als niet-veiligheidskritische voertuigdomeinen.

Geïdentificeerde kernuitdagingen:

1. Relevantie van CVE's: Het is onduidelijk in welke mate gedisclosede Common Vulnerabilities and Exposures (CVE's) voor POSIX/Linux-ecosystemen daadwerkelijk invloed hebben op voertuigsoftwarestacks of nog exploiteerbaar blijven in door OEM's geharde, beperkte omgevingen.
2. Beperkingen in tooling: Bestaande kwetsbaarheidsscanners zijn grotendeels ontworpen voor generieke container- of pakketscanning. Ze slagen er vaak niet in om rapporten te parsen, te filteren en te prioriteren op basis van de specifieke context van automotive systemen (bijv. het onderscheiden tussen developer toolchains en runtime binaries, of het identificeren van niet-exploiteerbare utilities in een voertuig).
3. Gebrek aan cross-layer analyse: Er is een tekort aan studies die systematische kwetsbaarheidsontdekking combineren met end-to-end penetratietesten over de volledige SDV-stack (Application → Middleware → OS/Hypervisor → Firmware).

Methodologie

De auteurs stellen VERA (Vulnerability Exposure and Reporting Analysis) voor, een lichtgewicht, offline-geschikte en schaalbare kwetsbaarheidsbeoordelingssuite die specifiek is ontworpen voor automotive POSIX-gebaseerde besturingssystemen.

Het VERA-framework

VERA werkt binnen een Dockerized ontwikkelomgeving om reproduceerbaarheid en isolatie te waarborgen, terwijl de exacte filesystem, pakketlijsten en softwareconfiguraties van doel-systemen behouden blijven. De architectuur bestaat uit verschillende geïntegreerde componenten:

1. Scanning Engine:

   • Maakt gebruik van een lokale CVE-dataset (MITRE CVE List V5).
   • Integreert meerdere scanners: Grype en CVE Binary Tool (CBT) voor container images en binaries; Vanir (Google) voor Android source/code; en cve-check (Yocto Project) voor Yocto-gebaseerde systemen.
   • Ondersteunt batch-analyse van Docker images, Android emulators en pakketinventarissen.

2. Dataverwerking en Normalisatie:

   • Parser: Aggregeert resultaten van diverse scanners, voegt deze samen en normaliseert de data naar een canoniek formaat.
   • Filtering: Past context-specifieke filters toe om kwetsbaarheden te verwijderen die irrelevant zijn voor de automotive omgeving. Bijvoorbeeld, het filtert niet-sudo command-line utilities (bijv. apt, git) en developer toolchains (bijv. gcc, cmake) uit die niet aanwezig zouden zijn of niet bruikbaar zijn door een aanvaller in een productievoertuig, waardoor false positives worden verminderd.

3. Exploitability Assessment:

   • Analyser: Verifieert de aanwezigheid van specifieke kwetsbare symbolen of functies binnen binaries en volgt hun call paths.
   • Exploit Finder: Zoekt naar beschikbare Proof-of-Concept (PoC) exploits en online exploit code.
   • Runner: Mount exploits in de Docker-omgeving om de haalbaarheid te valideren.

4. Risicoevaluatie:

   • Het framework incorporeert CVSS (ernst), EPSS (exploit voorspelling) en KEV (Known Exploited Vulnerabilities) indicatoren.
   • Het maakt gebruik van de Automotive Threat Matrix (ATM) en TARA (Threat Analysis and Risk Assessment) methodologieën uit ISO/SAE 21434 om kwetsbaarheden te mappen aan specifieke aanvalsscenario's (bijv. Initial Access, Lateral Movement, Affect Vehicle Function) en berekent haalbaarheid en risicoscores.

Belangrijkste bijdragen

1. Systematische Survey en Mapping: Het paper biedt een uitgebreide survey van automotive besturingssystemen, middleware en deployment architecturen, waarbij platforms (bijv. QNX, VxWorks, AGL, AAOS) worden gemapt aan hun rollen, use cases en formele certificeringsniveaus (EAL, ASIL, SIL, CAL).
2. Empirische beoordeling van POSIX CVE's: De auteurs beoordelen empirisch hoe POSIX/Linux CVE's naar voertuigstacks propageren. Ze demonstreren dat hoewel certificering (bijv. ASIL D, EAL 4+) het risico vermindert, het de aanvalsoppervlakte niet elimineert, aangezien gecertificeerde kernels en RTOS'en nog steeds een aanzienlijk aantal high-severity CVE's bevatten.
3. VERA Tool Suite: De release van een gespecialiseerd kwetsbaarheidsscan-framework dat verder gaat dan eenvoudige enumeratie. Het integreert statische ontdekking met gecontroleerde penetratietesten-validatie om de praktische exploiteerbaarheid van CVE's te evalueren.
4. Experimentele Artefacten: De auteurs geven de VERA broncode, proof-of-concepts (PoCs) en exploit-implementaties vrij om reproduceerbaarheid en vergelijkende analyse te bevorderen.

Experimentele Resultaten

De auteurs evalueerden VERA over een diverse set van besturingssystemen en middleware die gebruikt worden in volgende generatie voertuigen (bijv. Ubuntu, VxWorks, QNX Neutrino, Zephyr, ROS2, AGL, AAOS).

• Prevalentie van kwetsbaarheden: De studie onthulde een heterogene kwetsbaarheidslandschap.
  • High-Volume Platforms: Android-gebaseerde systemen (AGL, AAOS) en ROS2 vertoonden het hoogste aantal CVE's. Bijvoorbeeld, AGL had 1.203 CVE's, en Android 30 had 749.
  • Kritieke Ernst: ROS2 werd geïdentificeerd als een systeem met een uitzonderlijk hoog risicoprofiel met 28 critical-severity kwetsbaarheden.
  • Gecertificeerde Systemen: Zelfs hoog gecertificeerde systemen zoals VxWorks 7 (EAL 6+) en QNX Neutrino (EAL 4+) vertoonden significante kwetsbaarheidsaantallen (respectievelijk 33 en 56 CVE's), inclusief high-severity bevindingen.
• Effectiviteit van Filtering: Het voorgestelde filtermechanisme verminderde de ruis aanzienlijk. Zo verminderde filtering bijvoorbeeld de gerapporteerde CVE's voor AutoSD met 59,8% en VxWorks 7 met 57,1%, waarbij niet-exploiteerbare klassen zoals developer tools werden verwijderd.
• Exploitability Validatie:
  • Het team slaagde erin om CVE-2022-35737 (die SQLite beïnvloedt) te exploiteren in een Android Automotive OS omgeving.
  • Ze implementeerden een de-association attack (gericht op de SOME/IP service discovery) die succesvol was op AutoSD en TeslaOS, maar faalde op AAOS, waarschijnlijk door port randomization security mechanismen. Dit benadrukte dat identieke ernstratings tot uiteenlopende operationele uitkomsten kunnen leiden op basis van platformconfiguratie.
• Scenario Analyse: Twee multi-stage aanvalsscenario's werden gemodelleerd:
  • Scenario A (Safety Threat): Remote compromise via een kwaadaardige infotainment app leidend tot manipulatie van voertuigfuncties (bijv. remmen).
  • Scenario B (Privacy/Control): Remote compromise voor datacollectie en potentiële lateral movement naar veiligheidskritische ECU's.
  • Beide scenario's werden als haalbaar beschouwd onder specifieke condities, met risicobeoordelingen variërend van Medium tot High, afhankelijk van de impactcategorie (Safety, Financial, Operational, Privacy).

Betekenis en Claims

Het paper claimt het eerste werk te zijn dat systematisch software-stack component certificeringen in SDV's presenteert en de SoC's en OS-configuraties van voertuigmodellen bepaalt op basis van bedrijf-disclosures.

Kernbetekenis:

• Verder dan Statische Lijsten: De auteurs stellen dat ruwe CVE-aantallen imperfecte proxies voor risico zijn. VERA verschuift de focus van "catalogus-stijl" opsomming naar gemeten, penetratietesten-gedreven validatie.
• Contextuele Relevantie: Door niet-relevante kwetsbaarheden te filteren (bijv. tools die niet in een voertuig aanwezig zijn), biedt VERA een hogere signaal-ruisverhouding, waardoor automotive-praktici hun remediatie-inspanningen kunnen prioriteren op kwetsbaarheden die werkelijk exploiteerbaar zijn in de automotive context.
• Certificering is Geen Panacee: De resultaten dagen de aanname uit dat formele certificeringen (ISO 26262, EAL) immuniteit garanderen. De studie demonstreert dat gecertificeerde platforms nog steeds substantiële aanvalsoppervlaktes bezitten die continue monitoring en patching vereisen.
• Praktisch Framework: VERA biedt een praktische, verenigde methodologie voor het evalueren van de security exposure van SDV's, en overbrugt de kloof tussen theoretische kwetsbaarheidsontdekking en real-world exploitability assessment.

De auteurs hanteren een bescheiden toon met betrekking tot beperkingen, waarbij ze erkennen dat hun Dockerized omgeving geen volledige replica is van vendor-specifieke kernel builds, propriëtaire firmware interacties of hardware-afhankelijke gedragingen. Ze merken op dat hoewel hun tool potentiële aanvalvectoren identificeert, de werkelijke exploiteerbaarheid afhangt van specifieke deployment configuraties en runtime defenses die niet altijd door statische analyse worden gevangen.