Ein Sicherheitsrückruf Bremscontroller sollte eigentlich vor allem ein mechanisches oder funktionales Risiko im Blick haben. Doch bei einem schweren Lkw-Bremssystem zeigt sich: Die Aktualisierung, die 2024 für den Bendix EC80 durchgeführt wurde, diente laut NMFTA zugleich als „versteckte“ Sicherheitsmaßnahme gegen mehrere ernsthafte Schwachstellen.
Die Erkenntnisse stellte ein Senior-Engineer für Cybersicherheit, Ben Gardiner, auf der Black Hat USA 2026 vor. Dabei ging es nicht nur um eine öffentlich gemachte Speicherproblematik, sondern auch um weitere Lücken, die theoretisch bis hin zu Remote-Code-Ausführung reichen konnten.
Was der EC80 im Lkw tatsächlich steuert
Der EC80 ist eine elektronische Steuereinheit (ECU), die wesentliche Aufgaben im Bereich der Fahrzeugstabilität übernimmt. Dazu zählen unter anderem Anti-Blockier-Bremssystem (ABS), Antriebsschlupfregelung und Stabilitätsfunktionen für schwere gewerbliche Fahrzeuge.
Kommunikativ ist der Controller dabei über eine spezielle Bus-Technologie eingebunden. Der Datenaustausch erfolgt über J2497, auch bekannt als PLC4TRUCKS. Dieses Powerline-Datensystem existiert bereits seit 2001 und gilt als ein Branchenstandard, um die vorgeschriebenen ABS-Warnleuchten für Trailer zu erfüllen.
Warum der Sicherheitsrückruf Bremscontroller 2024 ausgelöst wurde
Ende 2024 starteten mehrere OEMs, die den EC80 in ihre Fahrzeuge integrieren, Rückrufaktionen. Hintergrund waren laut Bendix Speicherkorruptionsprobleme, durch die die ECU ausfallen könnte. Bendix führte das Problem auf Leitungsrauschen entlang von J2497 zurück und lieferte eine entsprechende Korrektur.
Insgesamt gingen die Rückrufe nach Angaben von NMFTA von einer Größenordnung von rund 450.000 Einheiten aus. Drei OEMs waren betroffen, die jeweils den EC80 in unterschiedlicher Ausprägung nutzten.
Die NMFTA-Analyse: Vorher/Nachher-Firmware und gelöschter Code
Gardiner und sein Team haben nicht nur die öffentliche Beschreibung verfolgt, sondern zusätzlich die Technik genauer untersucht. Sie rekonstruierten und verglichen Firmware-Versionen aus vorherigen und aktualisierten Zuständen – basierend auf drei EC80-Geräten. Dabei stammte jeweils ein Gerät aus einer der betroffenen OEM-Umgebungen.
Das Ergebnis: Das Update entfernte Dutzende Funktionen. In diesem gelöschten Bereich identifizierte der Forscher mehrere Schwachstellen. Einige davon konnten laut Präsentation einen Crash der ECU verursachen, andere beschrieben einen Weg zu Remote-Code-Ausführung.
Welche Schwachstellen im Update steckten
Im Detail nannte Gardiner unter anderem Fehler beim Umgang mit Puffern, die zu Abstürzen führen und gleichzeitig die Ausführung von Code ermöglichen könnten. Darüber hinaus fand das Team eine fest einprogrammierte (hardcodierte) Konfiguration, mit der sich bestimmte Funktionen abschalten ließen – konkret wurde ein Szenario genannt, in dem die Traktionskontrolle deaktiviert werden könnte.
Zusätzlich gab es eine weitere Problematik, die nicht nur einen Absturzweg, sondern auch eine theoretische Brücke zu Code-Ausführung ermöglichen kann.
Wie Angriffe über J2497 möglich werden könnten
Ein zentraler Punkt der Sicherheitsbewertung ist die Erreichbarkeit der Kommunikation. Laut NMFTA kann J2497 potenziell auch aus der Ferne angesprochen werden. Die Einschätzung verknüpft NMFTA dies mit einer Technik, die bereits 2022 im Kontext einer anderen Schwachstellenmeldung diskutiert wurde.
Darüber hinaus kann ein Angriff nicht nur direkt über das System selbst gedacht werden. Ebenso ist demnach ein Szenario denkbar, in dem ein kompromittiertes Trailer-Telematikgerät als Einstieg dient. Damit würde sich der Zugriff auf die Schnittstellenebene deutlich vereinfachen.
Welche Effekte wurden getestet?
Um die potenziellen Auswirkungen auf reale Systeme greifbarer zu machen, führte NMFTA Tests in einer Werkbank-Umgebung durch. Für zusätzliche Bewertungen – inklusive Tests auf einer geschlossenen Strecke – nutzten die Forschenden ein softwaredefiniertes Radio, um Signale über einen diagnostischen Port zu injizieren und so eine Funkangriffs-ähnliche Situation zu simulieren.
Bei niedrigen Geschwindigkeiten, unter anderem unter 5 mph sowie um 9 mph, beobachteten die Forschenden: Sobald der Crasht-Effekt eintritt, stoppt der CAN-Bus vollständig. Die Wiederherstellung der ECU gelang nur zuverlässig durch Trennen der Batterie.
In diesem Denial-of-Service-Zustand (DoS) gingen laut NMFTA wiederholt wichtige Funktionen verloren. Genannt wurden unter anderem Ausfälle beim Tacho, Verlust der Lenkunterstützung und Beeinträchtigungen beim Schalten. Zudem sei ein ABS-Pulsieren beobachtet worden.
Ist das ein Unfallrisiko oder eine Wegnahme von Kontrolle?
Ob diese Effekte in der Praxis zu einem unmittelbaren Unfall führen, ist laut NMFTA stark vom Kontext abhängig. Der Grund: Die Angriffe würden zwar Fahrzeugfunktionen stören, aber laut Einschätzung würden sie die physische Fahrzeugbedienung durch den Fahrer nicht automatisch „wegnehmen“.
Allerdings gibt es Situationen, in denen Risiken steigen. Beispielsweise können Fahrervereinbarungen und Betriebsvorgaben den Betrieb im betroffenen Zustand wahrscheinlich untersagen. Gleichzeitig bleibt relevant, dass die Wiederherstellung üblicherweise ein Abklemmen der Batterie erfordert. In einem Fall wurde sogar erwähnt, dass dafür ein Händlerwerkzeug nötig gewesen sei.
Gerade im Bereich von Manipulationsszenarien – etwa bei einem Diebstahl von Ladung – könnte die Wirkung dennoch schwerwiegend sein. NMFTA betonte jedoch: Wie genau sich das auf eine konkrete Fahrsituation auswirkt, lässt sich nicht pauschal festnageln.
Warum keine CVE-Nummern vergeben wurden
Ein weiterer Diskussionspunkt: Obwohl die Schwachstellen durch das Update geschlossen wurden, habe keine der genannten Lücken eine CVE-Kennung erhalten. Gardiner argumentierte, dass dies die Bedeutung der Sicherheitsprobleme womöglich verschleiern könne, weil der öffentliche Fokus auf einer Safety-only Kommunikation gelegen habe.
NMFTA stand dazu in Kontakt mit Bendix und informierte außerdem zwei der drei betroffenen OEMs sowie NHTSA und Transport Canada, bevor die Ergebnisse öffentlich gemacht wurden.
Ist das Update bereits angekommen?
Die technische Behebung nützt nur dann etwas, wenn sie tatsächlich bei den betroffenen Fahrzeugen umgesetzt wird. NMFTA verwies deshalb auf einen öffentlichen Recall-Abschluss-Tracker von NHTSA. Zum 16. Juli zeigte dieser Abschlussquoten, die für die in Verbindung stehenden Kennungen zwischen 0 und 99 Prozent lagen.
Nach Einschätzung von NMFTA plateauen solche Quoten branchenweit häufig bei etwa 80 Prozent. Gründe sind unter anderem verlorenes oder fehlendes Equipment sowie mangelhafte Rückmeldungen aus dem Feld.
Technische Details nach der Black-Hat-Präsentation
Unmittelbar nach dem Vortrag veröffentlichte NMFTA ein umfangreiches technisches Dokument. Dabei handelt es sich um ein Whitepaper mit 179 Seiten, in dem die Ergebnisse detailliert beschrieben werden.
Eine Rückmeldung von Bendix auf eine Anfrage nach Kommentaren wurde in den zugrunde liegenden Informationen nicht berichtet.
Fazit: Mehr als nur ein Rückruf
Der Sicherheitsrückruf Bremscontroller für den Bendix EC80 zeigt, wie eng mechanische und elektronische Fahrzeugthemen mittlerweile miteinander verknüpft sind. Während die Maßnahme zunächst als Reaktion auf Sicherheitsrisiken durch Speicherprobleme eingeordnet wurde, deutet die Analyse von NMFTA darauf hin, dass im Zuge der Aktualisierung auch mehrere ernsthafte IT-Schwachstellen entfernt wurden.
Für Betreiber und Flotten bedeutet das vor allem eines: Recall-Compliance ist nicht nur ein Thema für den Werkstattkalender, sondern potenziell auch für die Cybersicherheit im Betrieb. Gleichzeitig bleibt die praktische Frage, wie schnell und vollständig Updates bei den betroffenen Fahrzeugen ankommen.
Quelle: https://www.securityweek.com/truck-brake-controllers-safety-recall-doubled-as-hidden-security-fix/
