本次大会由匠歆汽车和上海市普陀区科学技术委员会联合主办，汇聚了30多位行业资深专家和900多位产业人士，共同探讨汽车信息安全的最新趋势和挑战。为期两天的会议涵盖了出海合规、数据安全、软硬件信息安全等多个热点议题，为与会者提供了一个交流和学习的平台。

犬安科技在此次大会上的表现尤为突出，在The 4th ArtiAuto Award颁奖典礼上，其创新的技术和卓越的产品解决方案赢得了评委和行业同仁的一致认可，荣获四个奖项，包括

“2024年度优秀智能汽车信息安全实验室”

“2024年度智能汽车行业白帽黑客团队”

“2024年度优秀智能汽车信息安全领军人物”

“2024年度汽车信息安全先进研究员”

犬安科技作为国内领先的智能车联网安全方案供应商，公司秉承“从硅到云守护万物互联时代”的使命，专注于为汽车行业客户提供最佳的产品与服务。公司此次被评为行业标杆，不仅代表了行业专家和市场的高度认可，也是对犬安科技长期致力于汽车全生命周期网络安全研究与实践的肯定。公司将持续在技术创新上发力，结合丰富的汽车与网络安全经验，追求卓越，为客户带来更高标准的安全解决方案，保障汽车行业安全稳健前行，为万物互联时代的科技创新保驾护航。

再获行业多项认可——犬安科技在年度网联汽车安全行业大会大放异彩最先出现在犬安科技 GoGoByte。

2023年10月27日，北京犬安科技有限公司（以下简称“犬安科技”）与联合汽车电子有限公司（以下简称“联合电子”）在上海签署战略合作协议。随着汽车智能化、网联化的水平不断提高，汽车已成为万物互联世界中的数字终端，由此产生的信息安全挑战愈发严峻。在此背景下，与会各方将在信息安全管理平台、渗透测试技术与威胁信息共享等方面开展合作，共同打造智能汽车信息安全基石的解决方案。

联合电子副总经理郭晓潞、犬安科技CEO李均出席签约仪式，联合电子跨域控制业务部总经理王庆华和犬安科技CTO刘文浩代表双方签字

在智能汽车的信息安全能力构建过程中，联合电子始终将安全管理与研发平台放在至关重要的位置，以实现安全设计、安全开发和安全运营的体系化能力建立。此次联合电子与信息安全领域的科技新锐犬安科技达成战略合作，双方将投入资源共同打造面向全生命周期的信息安全管理平台，为智能汽车提供安全设计、生产、运营到报废各阶段的全方位网络安全保护，从而建立快速、敏捷的安全威胁响应能力。此外双方还将在渗透测试技术与威胁信息共享等领域开展深入合作与能力共建。

此次战略合作是联合电子与合作伙伴在智能汽车信息安全领域的联合探索，未来各方还将进一步深入合作，构建面向新型电子电气架构的纵深防御体系，携手共建智能汽车信息安全的基石。

关于联合电子：联合电子深耕汽车电子领域近30年，与主机厂建立了广泛的业务合作关系，为其提供技术领先、性能可靠的汽车电子解决方案，在先进网联、动力总成及新能源领域拥有强大的本土化研发能力和深厚的项目积累。身处汽车产业智能化、网联化变革浪潮之中，联合电子积极布局“两化两新”战略，致力于打造以车载计算平台和区域控制器为核心硬件，以USP（UAES Software Platform）开发平台为核心软件的车云一体化系统解决方案。

关于犬安科技：北京犬安科技有限公司成立于2020年，基于丰富的攻防经验研发了御织（DefenseWeaver）威胁分析与风险评估（TARA）系统、ThreatGo安全测管理调度平台、GoGoBark网络安全测试仪等产品，主办的安全社区GoGoHack也在汽车网络安全行业有较大的影响力并与全球安全社区ASRG、DEFCON GROUP等保持着良好的合作关系，在威胁情报、安全运维、安全攻防能力建设方面拥有诸多资源。

犬安科技与联合电子达成战略合作共筑智能汽车信息安全基石最先出现在犬安科技 GoGoByte。

2022年11月，犬安科技收到ASRG-China社区的漏洞情报，鸿泉物联的T-Box存在严重漏洞，该T-Box在三一重工等企业的工程测量上被大量使用，结合三一重工自身服务端漏洞可能造成严重后果。犬安科技在第一时间联系了三一重工集团安全团队和鸿泉物联，提供了该漏洞的详细情报，并给出了相应的修复建议。同时，犬安科技向工信部车联网产品安全漏洞专业库 CAVD（China Automobile Vulnerability Database）通报了该漏洞情报，根据《CAVD 漏洞分类分级管理规则》评定，此漏洞危害等级为“超危”。

在经过ASRG、犬安科技、CAVD和相关厂商等多方力量的快速响应和处理后，该漏洞现已得到修复，且并未造成任何严重损失。ASRG已经赋予此漏洞编号CVE-2023-3028, CVSS Base Score 为 Critical 9.8 “超危”，与《CAVD 漏洞分类分级管理规则》评定一致。

漏洞描述：

鸿泉 HQT-401 TBox存在漏洞导致导致MQTT服务器的地址泄露，而采用鸿泉 HQT-401 TBox的三一重工车辆的服务器（MQTT后端）的身份验证不足致使攻击者可以访问甚至篡改整个车队的控制数据和状态数据，其中包含多个漏洞：

– MQTT 后端不需要身份验证，允许攻击者进行未经授权的连接。

– 车辆将其遥测数据（例如GPS位置，速度，里程表，燃料等）作为公共主题中的消息发布。后端还以 MQTT 在公共主题中发布的形式向车辆发送命令。因此，攻击者可以访问由后端管理的整个车队的这些敏感机密数据。

– 车辆或后端发送的 MQTT 消息未加密或身份验证。攻击者可以创建和发布消息以模拟车辆或后端。例如，攻击者可以向后端发送有关车辆位置的错误信息欺骗后台。

– 后端可以通过在公共主题上发送特定的 MQTT 消息将数据注入车辆的控制器局域网总线。由于这些消息未经身份验证或加密，攻击者可以冒充后端，创建虚假消息并向后端管理的任何车辆的控制器局域网（CAN）注入控制数据。

车辆的安全问题涉及整个汽车产业链企业，上下游任何企业的产品缺陷都将导致严重的安全隐患。作为助力汽车行业安全发展的重要一环，犬安科技始终致力于为汽车行业提供全生命周期的网络安全服务，近年来积极通过组建社区、开展协同项目、研发创新产品等方式，在实践中为企业安全问题排忧纾困，将“守护万物互联的科技创新，为汽车行业安全发展保驾护航”的使命职责落到实处。

该系列的漏洞由ASRG安全研究员Ramiro Pareja Veredas和Yashin Mehaboobe发现并提交报告。

更多漏洞信息请参考：

https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-3028

https://garage.asrg.io/cve-2023-3028-improper-backend-communications-allow-access-and-manipulation-of-the-telemetry-data/

https://nvd.nist.gov/vuln/detail/CVE-2023-3028

犬安联手ASRG-China社区协助修复三一重工等企业超危漏洞最先出现在犬安科技 GoGoByte。