CVE-2026-49324
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Podatność w module kontroli bezprzewodowej (WCM) motocykla Indian Motorcycle Scout Bobber + Tech 2025 umożliwia atakującemu z sąsiedniej sieci, posiadającemu dostęp do zapisu w sieci pojazdu, trwałe unieruchomienie motocykla. Mechanizm blokady przed atakami brute-force na algorytm uwierzytelniania immobilizera jest podatny na manipulację, ponieważ licznik blokad jest osiągalny przez każdą nieuwierzytelnioną wiadomość, nie jest powiązany z sesją i nie resetuje się po cyklu zasilania. Atakujący może celowo wywołać blokadę za pomocą niewielkiej liczby spreparowanych ramek, uniemożliwiając uruchomienie motocykla do czasu serwisu dealerskiego.
Ocena ryzyka
Ryzyko polega na możliwości trwałego unieruchomienia motocykla przez atakującego z sąsiedniej sieci, co może prowadzić do utraty mobilności, kosztów serwisowych oraz potencjalnego zagrożenia bezpieczeństwa użytkownika w sytuacji awaryjnej.
Rekomendacja
Zaleca się natychmiastowe wdrożenie poprawek od producenta po ich udostępnieniu oraz ograniczenie dostępu do sieci pojazdu wyłącznie do zaufanych urządzeń. Do czasu aktualizacji należy monitorować sieć pojazdu pod kątem podejrzanych ramek i rozważyć tymczasowe wyłączenie funkcji bezprzewodowych modułu WCM.
Oryginalny opis (angielski, źródło NVD)
Uncontrolled resource consumption in the Wireless Control Module (WCM) of the Indian Motorcycle Scout Bobber + Tech 2025 model year allows an adjacent-network attacker with write access to the in-vehicle network to permanently immobilize the motorcycle. The WCM enforces a brute-force lockout on the immobilizer authentication algorithm, but the lockout counter is reachable by any unauthenticated message, has no session binding, and does not reset on power cycle. An attacker can deliberately trip the lockout with a small number of crafted frames, leaving the bike un-startable until dealer service. Specific thresholds have been withheld pending vendor remediation.