第10世代ホンダシビック ヘッドユニットのセキュリティ脆弱性：EvilValet

AOSPテストキーによる任意コード実行

第10世代ホンダシビックのヘッドユニットは、ホンダが公開されているAOSP（Android Open Source Project）テストキーを使用してファームウェア更新に署名したため、任意コード実行の脆弱性があります。 これにより、車両のフロントUSBポートに物理的にアクセスできる誰でも、root権限や su バイナリを必要とせずに不正なソフトウェアをインストールできます。

Eric McDonaldによる調査によると、ホンダはUSB更新に対して特定のチェックを実装していますが、改変されたリカバリバイナリ内の署名検証ロジックは標準のAOSPと同じです。公開されているAOSPテストキーが res/keys に残っているため、これらのキーで署名された更新ファイルはシステムに受け入れられます。この脆弱性は2021年型シビックだけでなく、公開されているEU向けソフトウェア更新ファイル（MRC_EU_SW_v12_4.zip）の解析でも確認されており、同様にAOSPテストキー署名が付与されています。

「EvilValet」攻撃ベクトル

この脆弱性により、車内という物理的アクセスが必要なため「EvilValet」と呼ばれる「evil maid」スタイルの攻撃が可能になります。 攻撃者（例えばバレーパーキング係や技術者）は、特別にフォーマットされたUSBドライブをヘッドユニットに挿入して悪意ある更新をインストールできます。更新が適用されると、所有者に知られることなくヘッドユニットが改ざんされ、攻撃者は永続的な任意コード実行を得られます。

この脆弱性の調査とデバイスのカスタマイズを支援するため、研究者は複数のツールを公開しています：

  • ota-builder: ヘッドユニットが受け入れる更新ファイルを作成するツールで、ユーザーが setuid 付きの su バイナリをインストールしてデバイスをroot化できる可能性があります。
  • apk-rebuilder: リソースの解決、.smali コードの再構築、ramdisk の抽出を自動化し、ホンダの更新ファイルのリバースエンジニアリングを支援するユーティリティです。
  • apk-renderer: カスタムテーマの探索に使用されるツールですが、研究者は三菱がフォークしたAOSPフレームワークではハードコードされたリソースIDのためカスタムテーマの実装が困難であると指摘しています。
  • aidl-rebuilder: AIDLインターフェースをマッピングする実験的ツールで、仮想スピードメーターなどのカスタムアプリケーション作成を可能にするかもしれません。

技術的制約とリスク

ヘッドユニットの更新は、特定のバージョン番号に大きく依存する脆弱なプロセスです。 これらのバージョン番号を偽装して未署名コードを実行できる場合でも、ユーザーはヘッドユニットが期待する正確なバージョンを把握しなければ、リカバリループやデバイスの「ソフトブリック」状態を回避できません。

さらに、研究者は従来のリファレンスドキュメントの維持をやめ、決定論的ツールの提供にシフトしています。この戦略は、ユーザーが大規模言語モデル（LLM）を使用して再構築されたコードを直接問い合わせることを可能にし、ヘッドユニットのコードを唯一の真実の情報源とみなし、古くなる可能性のあるドキュメントに依存しないようにすることです。

コミュニティの視点と業界の文脈

この発見は、脆弱性を重大なセキュリティ欠陥と見る側と、ハードウェア所有権と修理の権利（right‑to‑repair）の勝利と見る側との間で議論を呼び起こしています。

一部のコミュニティメンバーは、リスクは最小限であると主張し、洗練された攻撃者はUSB更新よりもハードウェアインプラントを使用する可能性が高いと指摘しています：

「車に物理的にアクセスできるなら、半分の脳細胞しか持たない『evil valet』がヘッドユニットをハッキングする時間を無駄にすることはありません。彼らは単に車内のどこかにスパイ装置を隠すだけです。」

他の人々は、自動車のインフォテインメントシステムにおけるセキュリティの低さという広範な傾向を指摘しています。ある貢献者は、オーストラリア政府情報セキュリティマニュアル（2026年3月更新）を例に挙げ、監視リスクのために政府職員が機密デバイスを車両のインフォテインメントシステムに接続しないよう指示していると述べました。同様の脆弱性は他ブランドでも報告されており、例えば一部のヒュンダイヘッドユニットはウェブ検索で簡単に見つかるRSAキーを使用していたとされています。

修理の権利（right‑to‑repair）の観点からは、ヘッドユニットを改造できることはハードウェアの寿命を延ばす手段と見なされ、所有者が工場出荷時のユニットを低品質なサードパーティ製Androidタブレットに置き換えることを防ぎます。

Sources