Investigadores de la Universidad de California en San Diego han descubierto una vulnerabilidad crítica en la alarma posventa KARR Security System, instalada por concesionarios en más de dos millones de vehículos en Estados Unidos para prevenir robos en sus lotes. El dispositivo, que muchos propietarios desconocen porque no lo compraron ni lo pidieron, puede ser explotado por cualquier persona dentro del alcance Bluetooth para desbloquear el coche en silencio, desactivar la alarma, hacer sonar el claxon o inutilizar el encendido y dejar al conductor tirado en la carretera.
El fallo se debe a una clave de autenticación única compartida entre todos los dispositivos KARR, localizada por los investigadores en el código de la aplicación móvil de la empresa. Con esa clave y una aplicación propia, los expertos lograron enviar comandos de radio falsificados aceptados por cualquier alarma KARR cercana. En pruebas con WIRED, demostraron que se puede desbloquear un coche en un semáforo para facilitar un robo o un carjacking, paralizar un vehículo aparcado o activar simultáneamente claxon y luces de varios coches a la vez.
Acrisure Protection Group, propietaria de KARR y de su filial SouthWest Dealer Services (SWDS), lanzó este lunes una actualización de firmware para corregir el fallo. Los usuarios con la app KARR instalada recibirán una alerta; el resto debe descargarla, vincularla al dispositivo del coche y ejecutar la actualización manualmente. Los investigadores recomiendan revisar si hay una pegatina KARR o SWDS en la ventanilla del conductor o un pequeño botón con luz parpadeante bajo el salpicadero.
La vulnerabilidad fue comunicada a la empresa en enero del año anterior, pero el parche tardó cerca de dieciocho meses en distribuirse, justo antes de las presentaciones previstas en las conferencias Defcon y Usenix.