CVE-2026-49323
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 1 - wyżej niż 1% wszystkich znanych CVE
Streszczenie
Słabe uwierzytelnianie między modułem sterowania bezprzewodowego (WCM) a modułem sterowania silnikiem (ECM) w motocyklu Indian Motorcycle Scout Bobber + Tech 2025 pozwala atakującemu w sąsiedniej sieci na odzyskanie tajnego klucza immobilizera ECM poprzez pasywne przechwycenie pojedynczej wymiany seed/key. Atakujący może następnie uruchomić silnik bez oryginalnego kluczyka.
Ocena ryzyka
Ryzyko polega na tym, że atakujący w zasięgu sieci pojazdu może ukraść motocykl, odtwarzając tajny klucz immobilizera i uruchamiając silnik bez fizycznego kluczyka.
Rekomendacja
Należy skontaktować się z producentem w celu uzyskania aktualizacji oprogramowania układowego, która zastąpi odwracalną operację kryptograficzną prawidłowym wyzwaniem-odpowiedzią.
Inne podatności w Indian Motorcycle Scout Bobber + Tech
Zobacz wszystkie- CVE-2026-49325Średnie
W motocyklu Indian Motorcycle Scout Bobber + Tech model 2025, nieprawidłowe obsługiwanie warunków fizycznych w sterowaniu wyłączaniem silnika pozwala fizycznemu atakującemu z dostępem do wiązki przewodów modułu WCM na ominięcie zabezpieczenia antykradzieżowego. Odbiorczy ECU nie rozróżnia aktywnego impulsu wyłączenia od stanu otwartego obwodu; przerwanie odpowiednich przewodów pozostawia motocykl w pełni sprawnym, nawet jeśli WCM nie zweryfikował kodu PIN.
- CVE-2026-49316Średnie
W motocyklu Indian Motorcycle Scout Bobber + Tech (model 2025) występuje naruszenie oczekiwanego zachowania w sieci wewnątrz pojazdu. Atakujący z dostępem do sieci sąsiedniej może ominąć zabezpieczenie antykradzieżowe, zmuszając moduł Wireless Control Module (WCM) do stanu CAN bus-off. Poprzez wstrzyknięcie ramek błędów CAN, atakujący powoduje, że WCM przestaje wysyłać wszystkie komunikaty, w tym komendę wyłączenia silnika. Inne ECU nie interpretują ciszy WCM jako zdarzenia bezpieczeństwa i kontynuują normalną pracę, umożliwiając uruchomienie motocykla bez odblokowania immobilizera.
- CVE-2026-49324Średnie
W module Wireless Control Module (WCM) motocykla Indian Motorcycle Scout Bobber + Tech 2025 występuje niekontrolowane zużycie zasobów. Atakujący z sieci lokalnej może trwale unieruchomić motocykl poprzez wysłanie kilku spreparowanych ramek, które wywołują blokadę immobilizera bez resetu po wyłączeniu zasilania.
Oryginalny opis (angielski, źródło NVD)
Weak authentication between the Wireless Control Module (WCM) and the Engine Control Module (ECM) of the Indian Motorcycle Scout Bobber + Tech 2025 model year allows an adjacent-network attacker with read access to the in-vehicle network to recover the per-vehicle ECM immobilizer secret by passively observing a single seed/key exchange. The WCM derives its response using a reversible, non-cryptographic operation rather than a cryptographic challenge-response, so the persistent immobilizer secret can be reconstructed from one captured exchange. With this secret the attacker can authenticate to the ECM independently of the WCM and start the engine, defeating the immobilizer. Specific protocol details have been withheld pending vendor remediation.