RAS车载导航被获取 root 权限，用 TARA 来看风险有多大？
01摘要
02为了修一个时钟而获取车机 root 权限
11月2日，爱沙尼亚研究人员 Rasmus Moorats 在个人博客上公开了他如何在自己的2014款 Renault Latitude 原厂导航（TomTom Carminat LIVE）上获取 root 权限的过程。夏令时结束后，时钟慢了一个小时，而时间设置菜单只有在插入正版地图 SD 卡时才会出现。重新购买一张卡大约需要60欧元，于是他决定自己想办法解决。
该设备运行在 Linux 2.6.28.10 上，但并非毫无防护。更新镜像带有签名，根文件系统为只读，其余分区大多以 noexec 方式挂载。SD 卡受与卡 ID 绑定的 DRM 保护。突破口是一项在启动时从 SD 卡读取脚本（master.script）的功能。驾驶员在“是否执行 master.script？”确认对话框中按下“是”后，一个以 root 权限运行的解析器便会处理该脚本。
弱点有两个。脚本的 LOG 命令不检查文件路径，因此可以写入日志文件夹以外的位置。SHEX 命令可以启动程序，但无法传递参数。研究人员利用 LOG 覆写了内核设置 core_pattern，使程序崩溃时会运行 SD 卡上的脚本。随后他用 SHEX 启动 dbus-monitor 并使其崩溃，内核便以 root 权限运行了他的脚本。之后，他备份了内部存储，并通过修改设置文件中的时区偏移值校正了时钟。
原文指出，攻击需要物理接触以及驾驶员的批准。文章未涉及车辆网络（CAN）或其他 ECU，也未提及向制造商报告或 CVE。下文示例中的车辆架构和评分均为基于该研究所作的教学用假设。
03将“获得了 root 权限”沿两条轴线拆分
ISO/SAE 21434 下的 TARA 从两条相互独立的轴线对每个威胁进行评估。一条是攻击可行性，即攻击有多容易；另一条是影响，即攻击成功后对安全、财务、运营和隐私造成的损害。风险值由二者共同决定。root 权限只是攻击的中间步骤，因此其本身没有等级。
在本示例中，我们在 VisualPro TARA 中创建了一台虚构的车机，并假设了两种车辆架构。在架构 A 中，车机只从车辆网络接收数据。在架构 B 中，车机可以经由网关向车辆控制域发送报文。攻击者设定为租用或共享该车辆的人。此人可以长时间待在车内，并且会自己按下确认对话框。
| 损害场景 | 影响 | 架构 |
|---|---|---|
| DS-1 前任用户的联系人和位置历史泄露 | 隐私，Major | A, B |
| DS-2 导航数据或设置被篡改导致车机功能丧失 | 运营，Moderate | A, B |
| DS-3 伪造的控制报文导致车辆功能在行驶中发生故障 | 安全，Severe | 仅 B |
04由两个弱点构成的攻击路径
研究人员的方法只要缺少任何一步就会失败。在 VisualPro 中，这样的路径用 AND 门来绘制。威胁 TH-1（复制联系人和位置历史）有两条路径。AP-1 如研究人员那样通过分析固件找出攻击链。AP-2 则按照已公开的文章逐步操作。
两条路径共用一个步骤：“在车内插入 SD 卡并批准确认对话框”。对于有人偷偷把 SD 卡插进别人车里的情况，确认对话框是一种有效的防御。但当攻击者就是坐在驾驶座上的人时，它便毫无作用，例如租车客户、二手车买家或手握车钥匙的维修店员工。
05公开改变可行性
VisualPro 的攻击潜力方法将五个因素的得分相加：所用时间、专业知识、相关项知识、机会窗口和设备。总分越低，攻击越容易：0至13分为 High，14至19分为 Medium，20至24分为 Low，25分及以上为 Very Low。
| 因素 | AP-1 公开前 | AP-2 公开后 |
|---|---|---|
| 所用时间 | 17（6个月以内：固件分析、搭建模拟器） | 0（一天以内） |
| 专业知识 | 6（专家） | 3（熟练者：能读懂文章并修改脚本） |
| 相关项知识 | 3（受限：自行获取并分析固件） | 0（公开） |
| 机会窗口 | 1（容易：自有或租用车辆） | 1（容易） |
| 设备 | 0（普通 PC 和 SD 卡） | 0（普通 PC 和 SD 卡） |
| 总分与等级 | 27，Very Low | 4，High |
差异来自知识，而非设备或接触条件。研究人员通过固件分析和模拟器找到的路线，一旦以一篇文章的形式公开，后来者在一天之内就能照做。威胁的可行性通常取决于其最容易的路径，VisualPro 也按此方式汇总，将 TH-1 的总体攻击可行性评为 High。如果最初的 TARA 中只有 AP-1，TH-1 的风险值将为1。研究公开后加入 AP-2，风险值便升至4。
06最高风险并非来自车辆控制
这一结果与直觉略有出入。风险值最高的是 TH-1，即前任用户个人数据泄露，因为该攻击仅凭已公开的步骤即可完成，其可行性为 High。架构 B 中的 TH-3 影响为 Severe，但风险值为3。获取车机 root 权限可以按已公开的步骤完成，但要弄清网关放行哪些报文格式，则需要机密信息、专用设备和专家的时间。因此其总分为22（Low）。
但这并不意味着 TH-3 可以暂缓处理。其路径的第一步已经人人可为，剩下的只有网关。如果网关的报文规则泄露或被其他研究公开，其可行性会像 TH-1 一样骤然上升。在架构 A 中，TH-3 根本不存在。即使是同一台车机，也是车辆架构决定了损害的上限。
07将网络安全目标设在共用步骤上
我们设定了三个目标。SG-1“不执行来源未经验证的可移动存储介质中的脚本”，阻断了四条路径中都出现的那个步骤。原设备虽然要求更新镜像带有签名，但启动时读取的脚本只需驾驶员确认，便会以 root 权限处理。SG-2 针对用户会更换的车辆中的个人数据，SG-3 针对架构 B 中的网关边界。这些目标相互重叠，即使 SG-1 失效，SG-2 和 SG-3 仍能限制损害。
2014年生产的汽车至今仍在道路上行驶。车机很少获得补丁，因此上市后公开的研究是改变攻击可行性最常见的因素。
08适用于自家产品的五项检查
- 可移动存储介质和诊断输入的权限：列出由哪个进程、以何种权限处理来自 SD 卡、USB 和诊断端口的文件。如果以 root 权限运行，检查该路径上是否有签名验证。
- 确认对话框何时可算作控制措施：在将用户批准算作安全控制措施之前，先考虑批准者是否可能就是攻击者。租赁车、共享车、二手车以及送修车辆都是典型情况。
- 研究公开后增加路径：不要修改现有评分，而是另外增加一条公开后路径。重新评定知识、专业程度和所用时间后，威胁的可行性会自动更新。
- 以车机已被攻破为前提的边界：首先检查车机是否能向车辆控制域发送报文。如果能，再检查网关允许列表是否是最后一道防线。
- 用户会更换的车辆中的个人数据：检查联系人和位置历史在更换用户时是否被删除或加密。在本示例中，最高风险值正出现在这里。
09常见问题
Q1需要物理接触的攻击也应纳入 TARA 吗？
应该。需要物理接触这一条件体现在机会窗口的评分中。不过，对于长时间使用车辆的人来说，物理接触并不困难。租车客户或维修店等攻击者坐在车内的情况，也应一并评估。
Q2研究人员公开漏洞后，应如何更新 TARA？
新增一条按已公开步骤实施的攻击路径，并重新评定相关项知识、专业知识和所用时间。威胁的可行性取决于其最容易的路径，因此风险值可能发生变化。在本示例中，同一威胁的风险值从1升至4。
Q3是否只需按风险值高低顺序处置威胁？
风险值用于确定优先级。即便如此，对于安全影响较大的威胁，即使风险值较低，也应另行检查还剩几道防线。在本示例中，TH-3 的风险值为3，但在已公开的步骤之后，只剩网关这一道防线。
示例中的车辆架构、影响等级和攻击潜力评分均为教学用假设，并非对任何特定车辆或产品的评估。
参考资料
· Rasmus Moorats，“Jailbreaking my car's navigation system just so I can change the time”（2026-11-02）—— 阅读原文
· Cyber Security News，“Renault Car's 15-Year-Old Linux Navigation Software Hacked to Execute Arbitrary Root Commands”（2026-11-03）—— 阅读文章
· ISO/SAE 21434 Road vehicles — Cybersecurity engineering —— ISO 页面