Scooter Xiaomi M365, scoperto un pericoloso bug

In molte città circolano diversi mezzi di trasporto alternativi, tra cui gli scooter elettrici. Uno dei più popolari è lo Xiaomi M365, venduto anche in Italia a 399,99 euro. I ricercatori di Zimperium hanno però scoperto un bug nel modulo Bluetooth che permette di ottenere il controllo da remoto ed eseguire diverse operazioni pericolose per l’utente. Purtroppo la risoluzione del problema è più complicata del previsto.

Lo Xiaomi M365 è uno scooter elettrico facile da trasportare (è pieghevole) con telaio in alluminio aerospaziale, doppio sistema frenante con ABS e batteria da 18.650 mAh che garantisce un’autonomia di 30 Km. Il modulo Bluetooth integrato viene sfruttato per il collegamento all’app che consente di leggere i dati di guida (velocità, autonomia e carica della batteria), aggiornare il firmware e attivare il Cruise Control. È presente inoltre un sistema antifurto, la funzionalità utilizzata dalla software house per dimostrare l’esistenza del bug.

Come si può vedere nel video è possibile bloccare lo scooter da una distanza massima di circa 100 metri. È sufficiente utilizzare un’app ad hoc che effettua la scansione Bluetooth per trovare il dispositivo ed eseguire tutti i comandi senza inserire la password. A causa del bug, la password viene validata solo dall’applicazione, mentre il modulo Bluetooth non mantiene traccia dello stato dell’autenticazione.

Un malintenzionato potrebbe bloccare lo scooter in mezzo al traffico, frenare o accelerare di colpo e installare un firmware infetto. Il codice del “proof-of-concept”, denominato Xiaomi M365 Locker, può essere scaricato da GitHub. Zimperium ha sviluppato anche un firmware che consente di aumentare la velocità all’insaputa dell’utente, ma non è stato pubblicato per ovvi motivi di sicurezza.

I ricercatori hanno informato Xiaomi della scoperta, ma il produttore cinese ha risposto che il software del modulo Bluetooth è stato sviluppato da un’azienda di terze parti. Pertanto non può risolvere il bug in tempi brevi. In attesa della soluzione, Zimperium suggerisce di collegare lo smartphone allo scooter prima della partenza. In questo modo viene bloccato l’accesso ad altre app.