Lemur Vehicle Monitors の BlueDriver LSB2 は、OBD2 ポートに接続して車両の性能に関する情報を提供するデバイスです。BlueDriver LSB2 は Bluetooth によるアクセスに PIN を必要としないため、Bluetooth の無線範囲内にいる誰もが車両の CAN (Controller Area Network) バスに任意のコマンドを送信することが可能です。 重要な機能に対する認証の欠如 (CWE-306) - CVE-2016-2354 CERT/CC は、BlueDriver LSB2 へ Bluetooth でアクセスする際に PIN が必要ないことを確認しました。この問題により、Bluetooth の無線範囲内にいる誰もが、当該車両の標準的な OBD2 診断情報である燃費やトラブルコード、速度、排気量の情報などを取得することが可能です。また、攻撃者は CAN (Controller Area Network) バスに対して、任意のコマンドを送信することが可能です。車両によっては、攻撃者がステアリングやブレーキなどに影響を与える可能性があります。 CWE-306: Missing Authentication for Critical Function http://cwe.mitre.org/data/definitions/306.html なお、National Vulnerability Database (NVD) では、CWE-284 として公開されています。 CWE-284: Improper Access Control http://cwe.mitre.org/data/definitions/284.html

開発者は CERT/CC に対し、次のように述べています： 　"BlueDriver scan tool users can update their sensor Firmware (F/W) by opening their BlueDriver App and tapping ‘More’ > ‘Update Sensor F/W’ > 'Check for Updates' and following the instructions. The latest F/W for BlueDriver limits Bluetooth discoverability to 1 minute after plug in. This added feature limits discovering (and then pairing) to your BlueDriver to those who first plug in the sensor. 　BlueDriver Scan Tool のユーザは、アプリを開き、 "More" > "Update Sensor F/W" > "Check for Updates" の順にタップして手順に従うことで機器のファームウェアをアップデートすることが可能です。 最新版ファームウェアでは、Bluetooth の検出が車両への機器接続から 1分間に制限されます。この機能の追加により、BlueDriver を検出 (およびペアリング) できるのは、車両に機器を接続した人物のみに制限されます。" 開発者の述べる内容を明確にすると、ファームウェアのアップデートによって、Bluetooth の検出は車両の動作中ずっとではなく、車両に機器を接続した時点のみ有効になるよう制限されるとのことです。