A vulnerability was found in BMW ConnectDrive (Vehicle Software). It has been rated as very critical. Affected by this issue is some unknown functionality. The manipulation with an unknown input leads to a missing encryption vulnerability. Using CWE to declare the problem leads to CWE-311. The product does not encrypt sensitive or critical information before storage or transmission. Impacted is confidentiality, integrity, and availability.

The weakness was released 01/30/2015 as not defined article (Website). The advisory is available at adac.de. The public release was coordinated with the vendor. The attack can only be initiated within the local network. No form of authentication is required for exploitation. Technical details are unknown but a private exploit is available. The structure of the vulnerability defines a possible price range of USD $5k-$25k at the moment (estimation calculated on 01/09/2018). This vulnerability is assigned to T1600 by the MITRE ATT&CK project. This vulnerability has a historic impact due to its background and reception.

It is declared as proof-of-concept. As 0-day the estimated underground price was around $25k-$100k. The advisory illustrates:

Laut BMW sind weltweit 2,2 Millionen, in Deutschland etwa 423.000 Autos der Marken BMW, Mini und Rolls Royce betroffen, die seit 2010 mit "ConnectedDrive" ausgeliefert wurden. BMW will das Problem nach eigenen Angaben bis zum 31. Januar 2015 durch Einschalten einer Verschlüsselung der Kommunikation mit dem Fahrzeug beseitigt haben.

Upgrading eliminates this vulnerability. A possible mitigation has been published 1 days after the disclosure of the vulnerability. The article contains the following remark:

Für das Schließen der Sicherheitslücke sind kein Werkstattbesuch und kein Teiletausch erforderlich, da das Einschalten der Verschlüsselung seit dem 8. Dezember 2014 im Hintergrund über Mobilfunk erfolgt. Die BMW-Halter können nicht selbst erkennen, ob ihre Fahrzeuge bereits bearbeitet wurden. Wer hierzu Gewissheit haben will (weil das Auto über einen längeren Zeitraum keinen Mobilfunkempfang hatte, etwa in einer Tiefgarage oder wegen abgeklemmter Batterie), sollte sich an die BMW-Hotline unter Tel. 089/125016010 wenden.

bild.de is providing further details.

Affected

• up to X1
• Mini F55/F56
• Rolls-Royce Phantom/Ghost/Wrait

Productinfo

Type

• Vehicle Software

Vendor

• BMW

Name

• ConnectDrive

CPE 2.3info

• 🔍

CPE 2.2info

• 🔍

Video

CVSSv4info

CVSSv3info

CVSSv2info

Exploitinginfo

Threat Intelligenceinfo

Countermeasuresinfo

Timelineinfo

Sourcesinfo

Entryinfo

Discussion