PerfektBlue, un conjunto de vulnerabilidades que afectan al stack Bluetooth BlueSDK de la empresa OpenSynergy, pueden permitir la ejecución remota de código y el acceso a componentes críticos en vehículos de marcas como Mercedes-Benz AG, Volkswagen y Skoda.
OpenSynergy confirmó las vulnerabilidades en junio del año anterior y lanzó parches a sus clientes en septiembre de 2024. Sin embargo, muchos fabricantes aún no han implementado las actualizaciones necesarias. Un importante OEM se enteró recientemente de los riesgos.
Los investigadores denominan el ataque PerfektBlue, un método que puede ejecutarse de forma inalámbrica, requiriendo como máximo un clic del usuario para activar la explotación.
Aunque BlueSDK se utiliza ampliamente en la industria automotriz, también es empleado por fabricantes de otros sectores. El equipo de pentesting de PCA Cyber Security descubrió las vulnerabilidades y las reportó a OpenSynergy en mayo de 2024.
Según los investigadores, el ataque afecta a millones de dispositivos en la industria automotriz y otras áreas. Las fallas fueron encontradas mediante el análisis de un binario compilado del producto, ya que no tenían acceso al código fuente.
- CVE-2024-45434 (gravedad alta): uso posterior a la salida en el servicio AVRCP para el perfil Bluetooth que permite el control remoto de dispositivos multimedia.
- CVE-2024-45431 (gravedad baja): validación incorrecta del identificador de canal remoto (CID) de un canal L2CAP.
- CVE-2024-45433 (gravedad media): finalización incorrecta de una función en el protocolo RFCOMM.
- CVE-2024-45432 (gravedad media): llamada de función con un parámetro incorrecto en el protocolo RFCOMM.
Los investigadores no compartieron detalles técnicos completos sobre la explotación, pero afirmaron que un atacante vinculado al dispositivo afectado podría manipular el sistema y realizar intrusiones laterales a otros componentes del producto objetivo.
PCA Cyber Security demostró ataques de PerfektBlue en unidades principales de infoentretenimiento de Volkswagen ID.4, Mercedes-Benz (NTG6) y Skoda Superb (MIB3), obteniendo una capa inversa sobre el protocolo TCP/IP que permite la comunicación entre dispositivos en una red.
Los investigadores afirman que con la ejecución remota de código en el Sistema de Info-entretenimiento del Vehículo (IVI), un atacante podría rastrear coordenadas GPS, espiar conversaciones y acceder a los contactos telefónicos. También podrían realizar intrusiones laterales a subsistemas más críticos.
Riesgo y exposición
El BlueSDK de OpenSynergy se usa ampliamente en la industria automotriz, pero es difícil determinar qué proveedores confían en él debido a los procesos de personalización y reempaquetado.
PerfektBlue es principalmente un RCE de un solo clic, ya que la mayoría de las veces requiere engañar al usuario para permitir el emparejamiento con un dispositivo atacante. Sin embargo, algunos fabricantes configuran los sistemas de infoentretenimiento para que se emparejen sin confirmación.
PCA Cyber Security informó a Volkswagen, Mercedes-Benz y Skoda sobre las vulnerabilidades y les dio tiempo suficiente para aplicar los parches, pero no recibieron respuesta de los proveedores sobre la solución de los problemas.
BleepingComputer se puso en contacto con los tres fabricantes para preguntar si implementaron las correcciones. No hubo una declaración de Mercedes disponible de inmediato, y Volkswagen afirmó que comenzó a investigar el impacto y las formas de abordar los riesgos.
Un portavoz de Volkswagen informó: «Las investigaciones revelaron que, bajo ciertas condiciones, es posible conectarse al sistema de infoentretenimiento del vehículo a través de Bluetooth sin autorización».
- El atacante se encuentra a una distancia máxima de 5 a 7 metros del vehículo.
- El vehículo debe tener el contacto encendido.
- El sistema de infoentretenimiento debe estar en modo de emparejamiento, es decir, el usuario debe estar emparejando activamente un dispositivo Bluetooth.
- El usuario debe aprobar activamente el acceso Bluetooth externo del atacante en la pantalla.
Incluso si se dan estas condiciones y un atacante se conecta a la interfaz Bluetooth, «debe permanecer a una distancia máxima de 5 a 7 metros del vehículo», afirmó el representante de Volkswagen.
El fabricante subrayó que, en caso de un exploit exitoso, un hacker no podría interferir con funciones críticas como la dirección, la asistencia al conductor, el motor o los frenos, ya que se encuentran «en una unidad de control diferente, protegida contra interferencias externas por sus propias funciones de seguridad».
PCA Cyber Security informó a BleepingComputer que confirmaron la presencia de PerfektBlue en un cuarto OEM, quien afirmó que OpenSynergy no les había informado de los problemas.
«Decidimos no revelar la información de este OEM porque no tuvimos tiempo suficiente para reaccionar», informaron los investigadores. «Planeamos revelar los detalles sobre este OEM afectado, así como los detalles técnicos completos de PerfektBlue, en noviembre de 2025, en una conferencia».
Actualización 7/11: Open Synergy respondió a BleepingComputer indicando que debido a acuerdos de confidencialidad no puede revelar qué fabricantes o modelos se ven afectados, pero aseguró que está trabajando con ellos para encontrar una solución.