美国CISA警告 SinoTrack GPS 跟踪器存在远程控制漏洞

美国CISA报告了SinoTrack GPS设备中的关键漏洞,这些漏洞可以让攻击者远程控制车辆并跟踪位置。发现漏洞和基本步骤,以保护您的设备。

SinoTrack GPS设备的所有者应该意识到重大的安全漏洞,这些漏洞可能允许未经授权的个人远程跟踪车辆甚至切断燃料。这些漏洞影响了所有已知的SinoTrack设备和SinoTrack IOT PC平台,最近由独立研究员RaúlIgnacioCruzJiménez曝光。美国网络安全和基础设施安全局(CISA)已就这些问题发出警报。

风险是什么?

已经确定了两个主要问题。CVE-2025-5484第一个被标记为CVE-2025-5484的是一个弱身份验证缺陷,这意味着登录设备的管理系统太容易了。每个设备都使用其唯一标识符,该标识符作为用户名打印在接收器上。

更令人担忧的是,默认密码是众所周知的,并且对所有设备都是相同的。用户在设置设备时不会被迫更改此密码,这使得攻击者很容易猜测。攻击者可以通过物理查看设备或在线查找设备图片来查找设备标识符,例如在eBay等网站上。

第二个问题,CVE-2025-5485,是一个可观察的响应差异。这个缺陷与用户名的结构有关;它们是数字标识符,长达10位数。这使得恶意行为者可以通过简单地尝试不同的数字序列来猜测有效的用户名,通过从已知标识符中计数或向下计数,或者通过尝试随机数字来猜测有效的用户名。

如果成功,攻击者可以控制联网车辆,可能跟踪它们的行踪,甚至切断对支持的燃油泵的电源。

这些漏洞被认为是非常严重的,其中一个缺陷是CVE-2025-5485,获得8.8的CVSS v4分数。截至目前,CISA尚未收到有关这些特定漏洞在公共攻击中被积极利用的报告。

现在该做什么

SinoTrack尚未回应CISA的信息请求或为这些问题提供修复。因此,强烈建议用户立即采取行动保护其设备。最关键的一步是通过管理界面将默认密码更改为强大的,独特的密码。sinotrack.com. .

此外,隐藏设备标识符也很重要。如果任何公开照片中都可以看到带有标识符的贴纸,建议删除或替换这些图片,以防止攻击者找到这些信息。

CISA还建议采取一般的网络安全做法,例如小心点击可疑电子邮件中的链接,以避免进一步的风险。有关保护控制系统的更详细指导可在CISA的网站上找到。