从这个网页截图中可以获取到以下关于漏洞的关键信息： CVE ID - CVE-2023-3028 Description - 不足的认证在MQTT后端（代理）中允许攻击者访问和操纵整个车队的车辆使用HopeChart HQT-401车载通信单元的遥测数据。其他型号也可能受到影响。识别了多个漏洞。 - MQTT后端不要求认证，允许攻击者进行未授权连接。 - 车辆将其遥测数据（例如GPS位置、速度、里程、燃料等）作为公共主题上的消息发布。 - 后端也发送命令作为消息发布到车辆的MQTT公共主题。因此，攻击者可以访问后端管理的整个车队的机密数据。 - 车辆或后端发送的MQTT消息没有加密或认证。攻击者可以创建和发布消息，以冒充车辆或后端。攻击者还可以创建和发送错误信息给后端关于车辆的位置。 - 后端可以通过发送特定MQTT消息到公共主题将其数据注入车辆的CAN总线。由于这些消息没有认证或加密，攻击者可以冒充后端，创建虚假消息，并将CAN数据注入任何受后端管理的车辆。 - 确认的版本是201808021036，然而进一步的版本也已经被确认为可能受到影响。 References - Yashin Mehaboobe - Ramiro Pareja Veredas Problem Type - CWE-287：不当认证 - CWE-319：明文传输敏感信息 - CWE-345：数据真实性不足验证 CAPEC ID - CAPEC-194：假冒数据源 - CAPEC-383：通过API事件监控收集信息 Affected Products - Hangzhou Hopechart IoT Technology Co., Ltd., HQT401 CVSS3.1 Score - 8.6 - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H