一名安全研究员在某款第三方开源应用程序中发现了漏洞，能用来跟踪和解锁部分特斯拉汽车。

这名19岁的黑客兼安全研究员说，他能够利用某款第三方应用程序的漏洞，控制全世界几十辆特斯拉汽车的部分功能。该应用程序本来是让车主跟踪自己汽车动向的，可以远程解锁车门、打开车窗、启动无钥匙驾驶、鸣响喇叭和闪灯。

该研究员说：“我现在发现全世界13个国家有这样的特斯拉汽车，我能够禁用哨兵模式、解锁车门、启动无钥匙驾驶，然后直接把它们开上路。”

最关键的是，他说虽然自己不能远程控制汽车最重要的一些功能（比如转向、加速和制动），但是已经足以造成相当大的破坏了，包括在司机开车时分散他们的注意力。他解释说，除了控制汽车的一些功能外，他还能看到大量敏感数据，比如车主给特斯拉汽车起的名字、汽车的当前位置、过去几天的精确行车路线、行驶速度等。

据他说，一开始发现这些数据时，自己也大惊失色。后来他在网上搜寻还有没有类似的例子，结果发现全世界有超过125辆这样的特斯拉汽车，分布在德国、比利时、芬兰、丹麦、英国、美国、加拿大和中国等地。

显然，最大的风险是有人滥用这个漏洞来定位特斯拉汽车，前往汽车所在位置，然后通过有漏洞的第三方开源应用程序解锁汽车。该研究员强调，他发现的这个问题不是特斯拉的错，完全是因为车主使用了特定的第三方应用程序。简而言之，问题的症结在于第三方应用程序与特斯拉建立通信，从而通过该公司的API提取车主的数据。问题是，该应用程序将许多车主的API私钥泄露到网上，导致任何别有用心的人都能设法找到。

稿件来源：https://www.vice.com/en/article/akv7z5/how-a-hacker-controlled-dozens-of-teslas-using-a-flaw-in-third-party-app