PerfektBlue: Bluetooth-Lücke in Entertainment-Systemen von Mercedes, Skoda & VW

Beim Enyaq ist es identisch mit den ID und Cupramodellen: icas3. Was hier fehlt ist die Angabe welche Softwareversion anfällig ist, könnte z.b. sein dass mit dem me 3.8.1 Update der Fix eingespielt wird, oder dass alle Enyaqs/Elroqs ab einem bestimmten Produktionsdatum sichersind.

Im Artikel von Golem (https://www.golem.de/news/merc…faehrdet-2507-198007.html) wird auf die Website von PAC verlinkt (https://perfektblue.pcacybersecurity.com/). Beim ICAS3 sind die Versionen 0561 und 0792 betroffen. Ich habe mal gegoogelt und das sollten 3.2 und 2.1 sein. Die 2er sollten eigentlich auf 3.7 geupdatet sein. Bei den 3.2 wäre die Frage ob die bereits durch OTA geupdatet wurden oder von Skoda zum Update eingeladen worden sind.

0792 ist eine sehr frühe Version beim Enyaq, ich hatte sogar noch die 0790 drauf. Vor 3.0 gab es auch noch die 0795. Die 0561 war doch aber die damals lang ersehnte 3.0, wenn ich mich recht erinnere... 🤔

Auf jeden Fall sollten diese Versionen aber mittlerweile updatebar sein.

So oder so: Das wird gerade heißer gekocht als es ist:

Zitat von Heise

Sofern Firmen, die das BlueSDK nutzen und ein sehr niedriges Sicherheitsprofil oder "Just Works"-SSP-Modus dafür konfigurieren, ließen sich die Lücken ohne vorheriges Pairing missbrauchen – jedoch sind Bluetooth-Geräte ohne Pairing absolut selten. Das machen die PKW-Hersteller auch nicht. Dort ist Bedingung, dass ein Angreifer-Gerät mit dem Infotainment-System gekoppelt wird.

Also ja, stopfen sollte man es, aber die Lücke ist in der Realität alles andere als kritisch.