PerfektBlue Bluetooth-Schwachstellen setzen Millionen von Fahrzeugen dem Risiko von Fernangriffen aus

Die Entdeckung der PerfektBlue Bluetooth-Schwachstellen hat ernste Sicherheitsbedenken in der Automobilindustrie ausgelöst.
Diese Schwachstellen könnten es Angreifern ermöglichen, aus der Ferne auf sensible Fahrzeugsysteme mehrerer Automarken zuzugreifen.

Was ist PerfektBlue?

PerfektBlue bezeichnet vier neu entdeckte Sicherheitslücken im BlueSDK Bluetooth-Stack von OpenSynergy.
Die Software von OpenSynergy läuft in vielen Fahrzeugen, darunter solche von Mercedes-Benz, Volkswagen und Skoda.
PCA Cyber Security, ein auf Fahrzeugsicherheit spezialisierter Cybersicherheitsdienstleister, entdeckte die PerfektBlue Bluetooth-Schwachstellen.
Das Team hat in den letzten Jahren über 50 Schwachstellen in Fahrzeugsystemen aufgedeckt.

Die Entdeckung und Reaktion

PCA Cyber Security entdeckte die Schwachstellen im Mai 2024 und meldete sie an OpenSynergy.
OpenSynergy bestätigte die Probleme im Juni und veröffentlichte bis September 2024 Patches.
Viele Automobilhersteller haben die Updates jedoch noch nicht auf betroffene Fahrzeuge ausgerollt.
Erschreckenderweise erfuhr mindestens ein großer Hersteller erst kürzlich von den Risiken.

Wie PerfektBlue-Angriffe funktionieren

Die PerfektBlue Bluetooth-Schwachstellen können durch einen drahtlosen Over-the-Air-Angriff ausgenutzt werden.
Ein Angreifer müsste sich nur in der Nähe befinden und benötigt möglicherweise nur einen einzigen Klick vom Nutzer.
In einigen Fällen kann der Angreifer sich sogar ohne Bestätigung des Nutzers mit dem System des Fahrzeugs koppeln.

PCA Cyber Security demonstrierte Angriffe auf beliebte Modelle wie:

• Volkswagen ID.4 (ICAS3)
• Mercedes-Benz NTG6
• Skoda Superb (MIB3)

Die Angriffe ermöglichten es ihnen, die Fernsteuerung zu übernehmen, einschließlich einer Reverse Shell im Fahrzeugnetzwerk.
Dadurch könnten GPS-Daten, private Gespräche, Kontaktlisten und mehr offengelegt werden.

Die vier Sicherheitslücken im Detail

Die Forscher fanden vier spezifische Schwachstellen:

• CVE-2024-45434 (Hoch): Ermöglicht die Übernahme von Medienkontrollen über den AVRCP-Dienst.
• CVE-2024-45431 (Niedrig): Probleme bei der Validierung des L2CAP-Kanals.
• CVE-2024-45433 (Mittel): Falscher Funktionsabschluss im RFCOMM-Protokoll.
• CVE-2024-45432 (Mittel): Falscher Funktionsaufruf im RFCOMM-Protokoll.

Das Ausnutzen dieser Schwachstellen könnte es Angreifern ermöglichen, sich seitlich durch Fahrzeugsysteme zu bewegen.

Risiko in der Praxis

Die PerfektBlue Bluetooth-Schwachstellen betreffen Millionen von Geräten, darunter Fahrzeuge und andere Produkte, die BlueSDK nutzen.
Angriffe sind typischerweise durch mehrere Faktoren eingeschränkt:

• Der Angreifer muss sich innerhalb von 5 bis 7 Metern vom Fahrzeug befinden.
• Die Zündung des Fahrzeugs muss eingeschaltet sein.
• Das Infotainmentsystem muss im Pairing-Modus sein.
• Der Nutzer muss den Bluetooth-Zugriff genehmigen.

Selbst mit diesen Einschränkungen können Angreifer, sobald verbunden, die Verbindung aufrechterhalten, solange sie in Reichweite bleiben.
Volkswagen bestätigte diese Bedingungen und betonte, dass sicherheitskritische Systeme wie Bremsen und Lenkung nicht zugänglich sind.

Reaktion der Automobilhersteller

Volkswagen, Mercedes-Benz und Skoda wurden alle über die PerfektBlue Bluetooth-Schwachstellen informiert.
PCA Cyber Security erklärte, dass sie den Herstellern ausreichend Zeit zur Verfügung stellten, um die Schwachstellen zu beheben.
Die Kommunikation dieser Automobilhersteller war jedoch in einigen Fällen begrenzt oder gar nicht vorhanden.

Volkswagen bestätigte, dass sie die Probleme untersuchen und an möglichen Lösungen arbeiten.
Das Unternehmen versicherte der Öffentlichkeit, dass wichtige Fahrzeugfunktionen weiterhin geschützt sind.

Größere Auswirkungen und zukünftige Offenlegung

Die eigentliche Herausforderung liegt in der weit verbreiteten Nutzung von OpenSynergys BlueSDK in verschiedenen Branchen.
Aufgrund von Anpassungen und mangelnder Transparenz ist unklar, wie viele Produkte weiterhin exponiert sind.
PCA Cyber Security identifizierte einen vierten großen Hersteller, der von PerfektBlue betroffen ist.
PCA Cyber Security wird im November 2025 Details zu diesem Unternehmen und vollständige technische Informationen veröffentlichen.

Fazit

Die PerfektBlue Bluetooth-Schwachstellen verdeutlichen die wachsenden Cybersicherheitsrisiken in modernen Fahrzeugen.
Hacker könnten diese Schwachstellen ausnutzen, um Privatsphäre zu verletzen und Fahrzeugsysteme zu kompromittieren.
Obwohl Patches existieren, setzen Verzögerungen bei der Implementierung Millionen von Nutzern Risiken aus.
Technologieanbieter und Automobilhersteller müssen dringend ihre Zusammenarbeit stärken, um Nutzer zu schützen.