CISA, SinoTrack GPS İzleyicilerindeki Uzaktan Kumanda Kusurları Konusunda Uyarıyor

SinoTrack GPS cihazlarının sahipleri, yetkisiz kişilerin araçları izlemesine veya hatta yakıtlarını uzaktan kesmesine izin verebilecek önemli güvenlik zaaflarının farkında olmalıdır. Bilinen tüm SinoTrack cihazlarını ve SinoTrack IOT PC Platformunu etkileyen bu zaaflar, yakın zamanda bağımsız araştırmacı Raúl Ignacio Cruz Jiménez tarafından gün yüzüne çıkarıldı. ABD Siber Güvenlik ve Altyapı Güvenlik Ajansı (CISA) bu sorunlarla ilgili bir uyarı yayınladı.

İki ana sorun belirlendi. CVE-2025-5484 olarak etiketlenen ilki, zayıf bir kimlik doğrulama kusurudur, bu da cihazın yönetim sistemine giriş yapmanın çok kolay olduğu anlamına gelir. Her cihaz, alıcıya kullanıcı adı olarak basılan benzersiz tanımlayıcısını kullanır.

Daha da endişe verici olanı, varsayılan parolanın yaygın olarak bilinmesi ve tüm cihazlar için aynı olmasıdır. Kullanıcılar cihazlarını kurarken bu parolayı değiştirmek zorunda kalmazlar, bu da bir saldırganın tahmin etmesini kolaylaştırır. Bir saldırgan, bir cihaza fiziksel olarak bakarak veya örneğin eBay gibi web sitelerinde cihazların resimlerini çevrimiçi bularak cihaz tanımlayıcılarını bulabilir.

İkinci sorun, CVE-2025-5485 , gözlemlenebilir bir yanıt tutarsızlığıdır. Bu kusur, kullanıcı adlarının nasıl yapılandırıldığıyla ilgilidir; 10 basamağa kadar uzunlukta sayısal tanımlayıcılardır. Bu, kötü niyetli aktörlerin, bilinen tanımlayıcılardan yukarı veya aşağı sayarak veya rastgele sayılar deneyerek, yalnızca farklı sayı dizilerini deneyerek geçerli kullanıcı adlarını tahmin etmesini mümkün kılar.

Başarılı olursa, saldırgan bağlı araçların kontrolünü ele geçirebilir, bunların nerede olduğunu izleyebilir veya desteklenen yerlerde yakıt pompasına giden gücü kesebilir.

Bu güvenlik açıkları oldukça ciddi olarak değerlendiriliyor ve kusurlardan biri olan CVE-2025-5485, CVSS v4'te 8,8 puan alıyor. Şu ana kadar CISA, bu belirli güvenlik açıklarının kamuya açık saldırılarda aktif olarak kullanıldığına dair bir rapor almadı.

SinoTrack henüz CISA'nın bilgi taleplerine yanıt vermedi veya bu sorunlar için düzeltmeler sağlamadı. Bu nedenle, kullanıcıların cihazlarını korumak için derhal harekete geçmeleri şiddetle tavsiye edilir. En önemli adım, sinotrack.com adresinde bulunan yönetim arayüzü aracılığıyla varsayılan parolayı güçlü ve benzersiz bir parolayla değiştirmektir.

Ek olarak, cihaz tanımlayıcısını gizlemek önemlidir. Tanımlayıcının bulunduğu etiket herhangi bir genel fotoğrafta görünüyorsa, saldırganların bu bilgileri bulmasını önlemek için bu resimleri kaldırmanız veya değiştirmeniz önerilir.

CISA ayrıca, daha fazla riskten kaçınmak için şüpheli e-postalardaki bağlantılara tıklama konusunda dikkatli olmak gibi genel siber güvenlik uygulamalarını da önermektedir. Kontrol sistemlerinin güvenliğini sağlama konusunda daha ayrıntılı rehberlik CISA'nın web sitesinde mevcuttur.