作者：韩启明｜OC 政策与安全编辑

据安全研究者 Eaton Zveare 披露，VE Commercial Vehicles 的 My Eicher 车队平台存在多个未正确认证的 API。研究者称，这些接口可查询约 748 万用户和 676 万辆车的记录，并允许接管账号、查看证件与车队信息。

一句话结论：现代车辆最集中的攻击面不一定在 CAN 总线，而可能是一个把数百万账号和车辆汇总到一起、却忘了检查登录状态的云端 API。

漏洞的严重性来自“对象级授权”缺失。服务器接到用户或车辆编号后返回对应资料，却没有可靠验证请求者是否登录、是否属于该车队、是否有权操作目标对象。攻击者不需要攻破每一辆车，只要遍历标识符，就能从中央后台批量取数。

研究者还描述了账号接管和车队控制能力。这里的“控制车辆”需要准确理解：披露材料主要涉及车队管理平台中的账户、车辆绑定和运营数据，不等于研究者已经远程操纵了转向或刹车。后台权限仍可能影响调度、追踪、司机资料和服务流程，风险已经足够高。

车联网平台容易出现这种问题，因为它连接经销商、车主、司机、车队管理员和售后人员，多种角色共享一套 API。团队往往在前端隐藏按钮，却没有在每个后端请求重新执行授权判断。攻击者可以绕过界面直接调用接口。

研究者称主要漏洞已经修复，但厂商沟通迟缓，其他问题的处理并不透明。对于可能包含身份证件和车辆位置的数据，修复接口只是第一步；企业还需要检查访问日志、确认是否发生过滥用、通知受影响用户并轮换相关凭证。

这不是一辆车的问题，而是多租户 SaaS 的老问题进入了实体世界。车辆越联网，身份与权限系统就越接近安全边界本身。

关键事实

• 来源：安全研究者 Eaton Zveare 的技术披露
• 涉及公司：VE Commercial Vehicles、Eicher、Volvo Group 相关合资业务
• 核心技术：未认证 API、对象级授权、账号接管、多租户车队平台
• 关键数字：研究者称涉及约 748 万用户、676 万辆车

OC 判断

披露证明的是大规模后台数据与管理权限暴露，不应夸张成已远程接管车辆物理控制。即便如此，缺失认证的 API 仍是基础级错误。车企必须把云平台纳入与车载固件同等严格的安全生命周期。

为什么重要

• 对开发者：每个 API 都要在服务端验证主体、对象和动作，前端隐藏不构成授权。
• 对企业：车队 SaaS 应持续测试跨租户访问，并为批量查询设置异常检测。
• 对用户：车辆位置、证件和运营记录泄露会带来跟踪、诈骗和现实安全风险。

参考来源

• Owning all My Eicher users and vehicles
• OWASP API Security Top 10: Broken Object Level Authorization