召回140万辆的那次远程入侵：Jeep Cherokee 十年复盘，车机和刹车之间到底缺了什么

原创

黑卷
黑卷

黑卷的IoT攻防日记

2026年10月12日 09:17
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

先说清楚：这是一个十年前公开、早已修复的历史案例。本文只讲架构根因和防御教训，不涉及任何利用细节。

为什么今天还讲它？我们现在做的 TARA、网关测试、GB 44495 合规，有一大半要求都能在这次事件里找到源头。

2014 款 Jeep Cherokee（KL），与研究车同代（图源：Wikimedia Commons，作者 OSX，公有领域）

开场：70 英里时速，空调先失控

2015 年 7 月 21 日，《连线》（Wired）记者 Andy Greenberg 发表报道：黑客在高速上远程“杀死”了一辆 Jeep，而他就坐在车里。

地点在美国圣路易斯 40 号公路（与 64 号州际公路共线），时速约 70 英里。研究员 Charlie Miller 和 Chris Valasek 坐在约 10 英里外 Miller 家里，用笔记本电脑操作。

研究员之一 Charlie Miller，摄于 2012 年 Infiltrate 大会（图源：Wikimedia Commons，作者 Alexander Klink，CC BY 3.0）

空调、收音机、雨刮先后失控，中控屏出现两人的照片。然后他们切断了变速箱：油门踩下去，车却越来越慢，最后在一段没有路肩的上坡高架上几乎停住，身后有卡车逼近。

记者求他们停下。熄火重启后变速箱恢复，他把车开到空旷停车场继续测试。

高速上演示的，和只在低速 / 空旷场地演示的（据 Wired 报道整理；黑卷制图）

刹车相关效果要按原文说准：报道写的是，工具能在低速下让发动机熄火、突然制动或让刹车失效。刹车被切断那次在空旷场地，车滑进了路边沟里。转向只能在倒挡时干预。

高速上演示的不是刹车。转述时这两段很容易被混在一起。

一、为什么这辆车能被远程影响

入口：一个本不该开着的端口

当年的 Uconnect 车机（娱乐、导航、电话、Wi‑Fi 热点）通过 Sprint 蜂窝网络联网。

NHTSA 调查结案报告称，这是一个“无意中保持开放”的车机通信端口；FCA 召回报告也说，运营商随后关闭了“此前开放的端口”。

据 Wired，只要知道车辆 IP，就能在全美范围内连上它。研究员在 Sprint 网络里扫描，能看到随机车辆的 VIN、IP 和 GPS 坐标，不只 Jeep，还有 Dodge Ram、Durango。

横向：从车机走到车内网络

按 Wired 的概述，研究员接着转向车机内一颗相邻的芯片，改写它的固件，让它能往车内 CAN 总线发指令。

这一步花了几个月。公开资料时，他们也明确保留了改写固件这部分。

一条没设防的路径（概念示意，不含利用细节；黑卷制图）

架构层面的三个问题

2014 年选车时，研究员用三个维度给 24 款车打分，Jeep Cherokee 被评为“最容易被黑”的一款（据 Wired）。

研究员的三个评估维度，翻译成今天的三个根因（黑卷制图）

单独一个 bug 是能修的。真正的问题是：一个娱乐系统的漏洞，能一路影响到动力和底盘。 这是架构问题。

二、披露与处置：补丁、封堵、召回

研究员：先通知，再公开

据 Wired，两人与克莱斯勒共享研究近九个月，让厂商在公开前发布补丁。2015 年 8 月 5 日，他们在 Black Hat USA 发表议题《Remote Exploitation of an Unaltered Passenger Vehicle》。

Black Hat USA 2015 议程，8 月 5 日 15:00 场次（图源：Black Hat 官方议程 PDF，框线为编者所加）

FCA 一边“感谢”研究员，一边声明不认可公开“how-to 信息”。双方的分歧，就是今天“协调披露”机制要解决的问题。

背景是：两人 2013 年用有线接入 OBD 口的方式研究过福特 Escape 和丰田 Prius，车企的回应是“需要物理接触”。远程研究某种程度上就是被这句话逼出来的。

厂商与运营商：三步处置

2015 年夏天的处置时间线（美国当地时间；据 NHTSA 文件、FCA 声明、Wired；黑卷制图）

关键一步在网络侧：运营商关闭开放端口，车主和经销商无需任何操作。

Miller 对此评价最高：以前最大的问题是车修不完，或者拖很久才修；只要 Sprint 侧做对了，就不用担心那些修不到的长尾车辆。

召回数字

约 140 万辆，以召回文件为准（黑卷制图）

FCA 首次报告是 1,416,376 辆，8 月又追加 7,810 辆 2015 款 Renegade，NHTSA 结案时总量为 1,424,519 辆。

NHTSA 对召回 15V‑461 的确认函，潜在受影响 1,400,000 辆（图源：NHTSA 公开召回文件）

完成率看 NHTSA 季度报告：

15V‑461 召回季度完成情况（图源：NHTSA 公开召回文件）

画成柱状图更直观。靠 U 盘加进店，从车主通知开始算，到 98% 用了一年多。

召回完成率（据 NHTSA 季度报告；黑卷制图）

一个细节：车企说“没缺陷”，监管不认

FCA 坚持“未发现缺陷”，称召回“出于谨慎”，还强调攻击需要“独特且大量的技术知识、长时间物理接触目标车辆和长时间写代码”。

NHTSA 在确认函里直接回应：这一说法对 Chrysler 执行召回的义务没有任何效力，NHTSA 不同意。

2016 年 1 月 5 日 RQ 15‑004 结案。NHTSA 审查的 30 起“被黑”投诉和现场报告，没有一起被确认；补救措施“看起来已经消除”了远程影响车辆控制系统的漏洞。

为什么说是“第一次”

中央网信办网站转载的《浙江日报》报道称，这是“首次发生汽车制造商因黑客风险而召回汽车的事件”。据 SFGate，美国交通部也把它视为第一起因黑客暴露的软件问题引发的大规模召回。

中央网信办网站 2015 年 8 月 3 日转载《浙江日报》报道（图源：中央网信办网站截图）

此前的召回几乎都针对机械、电气或功能缺陷。这一次，召回对象是一个网络安全漏洞。

三、十年后：行业变了什么

当年 Wired 文章里，I Am the Cavalry 向车企推销五条建议：减少攻击点、第三方测试、车内监测、分区架构、像 PC 一样的联网安全更新。十年后，这五条基本都成了硬要求。

法规和标准

从一次召回到一整套法规（据 UNECE、ISO 官网、工信部；黑卷制图）

GB 44495 覆盖信息安全管理体系、外部连接、通信、软件升级和数据安全；GB 44496 管用户告知、版本号读取、安全保护、先决条件、电量保障、失败处理（据工信部）。

技术上变了什么

对应当年的三个根因：暴露面收敛到必要服务，运营商 APN 做访问控制；座舱、T‑BOX 不直连底盘，跨域走网关白名单；关键报文上 SecOC，ECU 做合理性校验。

当年 vs 今天：联网入口到底盘控制之间隔了什么（概念示意，非任何车型实际拓扑；黑卷制图）

修复方式也变了：当年邮寄 U 盘，今天 OTA 是标配，配套签名验签、防回滚、失败回退。R155 还要求车企具备监测和响应能力，VSOC 从概念变成了交付物。

披露机制

2016 年 7 月 13 日，FCA 在 Bugcrowd 上线公开漏洞赏金，单个漏洞 150 到 1500 美元，自称第一家这样做的“全产品线车企”。

从“不认可公开 how-to”到“付钱请研究员报告漏洞”，FCA 用了一年。Corman 当年说，科技公司走完这段路花了 15 到 20 年，他希望车企三到五年内完成。

四、给今天整车厂的防御 checklist

按当年的三个根因倒推，测一辆车，我会先问这些问题：

防御 checklist（1/2）：暴露面、域隔离、车内通信（黑卷制图）

升级和流程同样要问。2015 年最值得抄的作业是：网络侧封堵比车端补丁快得多。

防御 checklist（2/2）：固件与升级、流程（黑卷制图）

黑卷点评

这个案例十年里被讲了很多遍。我想强调三点。

一是根因不是一个端口，是一条没设防的路径。 端口开着是 bug，关掉就修好了。但从娱乐系统一路走到变速箱和刹车，说明联网域和底盘域之间没有真正的边界。

二是修复能力和发现能力一样重要。 FCA 最有效的一招不是 U 盘，而是让运营商在网络侧关掉端口。做 CSMS，“多快能止血”应该和“能不能发现”放在同一张表里考核。

三是“需要物理接触”从来不是安全的理由。 TARA 里一条路径如果因为“要物理接触”就被直接评成低风险，值得多问一句。这也是我拆尊界 V800 线控制动那篇里讲的同一个盲区：默认它很安全，但没人要求证明。

十年过去，法规、标准、架构都补上了。但每一款新车，都可能在某个新功能上重演一遍“先上线，后加固”。

封面底图：2014 日内瓦车展上的 Jeep Cherokee（图源：Wikimedia Commons，作者 Clément Bucco-Lechat，CC BY-SA 3.0）

往期推荐

• 从调试口抽到改固件：Sonoff ZigBee 网关的芯片到云端两条 CVE
• EOL 路由照样打穿：Netgear WGR614v9 UART + Bitdefender Box SPI 降级 RCE
• 从 UART 焊到未认证后门：ANJIA PTZ 摄像头（CVE-2026-31077）
• 拍桌子才出 root：FiberGateway GR241AG 从 UART 故障注入打到 MEO 公网 WiFi RCE