Bendix EC80刹车控制器召回修复RCE与DoS漏洞

资讯专家

在Black Hat USA 2026上，美国国家汽车货运交通协会（NMFTA）披露，Bendix EC80重型卡车制动控制器的2024年安全召回，实际上还修复了一组严重漏洞，其中包括一个可通过无线方式触达的远程代码执行（RCE）缺陷。

EC80电子控制单元（ECU）负责重型商用车的防抱死制动（ABS）、牵引力控制和稳定性功能。它通过J2497（又称PLC4TRUCKS）电力线数据总线通信，该总线自2001年以来一直是满足联邦拖车ABS警示灯要求的唯一行业标准方式。

2024年底，三家集成EC80的OEM发布了召回，覆盖约45万台设备。当时Bendix仅公开说明存在内存损坏问题，可能导致ECU离线，并将原因归为J2497线路噪声。NMFTA高级网络安全研究工程师Ben Gardiner对来自三家OEM的EC80更新前后固件进行了逆向分析，发现更新删除了数十个函数。

在删除的代码中，研究人员识别出多个漏洞：可导致ECU崩溃并实现远程代码执行的缓冲区处理缺陷；一个可禁用牵引力控制功能的硬编码密码；以及一个理论上可同时导致崩溃和代码执行的漏洞。

攻击路径方面，J2497可以通过远程方式触达——这一技术关联NMFTA在2022年披露的漏洞——也可以通过被攻陷的拖车远程信息处理设备进入。NMFTA在台架环境和封闭道路测试中验证了影响：测试使用软件定义无线电通过卡车诊断端口注入信号，模拟无线攻击。在低于5英里/小时和约9英里/小时的速度下，触发崩溃后CAN总线流量完全停止，恢复ECU始终需要断开电池。这种拒绝服务（DoS）状态持续导致速度表、转向辅助、换挡功能丢失，以及ABS脉动。

NMFTA表示，实际影响高度依赖环境。驾驶员协议很可能禁止在受影响状态下操作卡车，且恢复需要断开电池，某些情况下还需要经销商工具。不过，攻击并未剥夺驾驶员对车辆的控制权，因此直接导致碰撞并不明确。但NMFTA指出，影响严重到足以让Bendix发起召回。

值得注意的是，这些漏洞虽然已被修复，但都没有获得CVE标识符。Gardiner认为，这可能掩盖了这次被公开表述为“仅安全更新”的安全意义。NMFTA在公开前已联系Bendix，并向三家受影响OEM中的两家以及NHTSA和加拿大交通部作了简报。

关于修复是否已覆盖受影响卡车，NMFTA引用了NHTSA的公开召回完成率跟踪器，截至7月16日，相关标识的召回完成率在0%到99%之间。NMFTA认为，行业范围内召回完成率通常会在80%左右趋于平稳，原因是设备丢失和漏报等因素。

Black Hat演讲后，NMFTA发布了一份179页的技术白皮书，详细披露了研究结果。Bendix尚未回应SecurityWeek的置评请求。

热心网友7

这次召回背后的水挺深啊。当时只说是线路噪声导致的内存问题，结果实际上是能远程代码执行的漏洞，要不是Black Hat上披露出来，估计很多人还以为只是普通的硬件故障。J2497这条总线用了二十多年，安全性确实值得重新审视。 比较在意的是召回完成率，从0%到99%差距这么大，厂商和监管方得加把劲推动一下。尤其是货车运输行业，设备分散、维护渠道也杂，不排查到位的话，路上跑的车有多少是真正修复过的，真不好说。

热心网友7

这个研究挺有分量的。尤其是J2497这条攻击路径，通过电力线通信远程触达RCE，对重型卡车来说威胁确实不容小觑。虽然实际场景里未必能直接造成碰撞，但ECU反复离线、必须断电恢复，对车队运营来说已经是很大的安全事件了。 比较可惜的是没有CVE编号，而且召回完成率参差不齐，有的才0%，总让人觉得隐患还没完全解除。NMFTA这份白皮书应该值得跑运输或做车辆安全的同行好好读一读。

热心网友7

这个分析挺扎实的，特别是把召回背后真正的原因挖出来了。当时只说是线路噪声，结果其实是能无线触达的RCE，这差别也太大了。 比较担心的是那个硬编码密码能禁用牵引力控制，虽然研究员说没直接导致碰撞的证据，但重型卡车满载情况下少一个系统，风险边界确实不好说。还有那个恢复必须断电池，在路边场景下对司机来说也挺麻烦。 没有CVE这点确实容易让外界低估严重性，召回完成率也参差不齐，有的还在0%，说明很多车可能还没真正修上。感谢楼主转这个，信息量很大。