Audi Sicherheitslücke: JS-to-Native Bridge ohne Validierung in Connect App

Die Audi Connect Plug&Play App (de.audi.connect.pnp) verwendet eine JavaScript-to-Native Bridge innerhalb eines WebView-Kontexts. Diese Bridge:

• Erlaubt JavaScript-Code, native Android-Funktionen aufzurufen
• Validiert eingehende Befehle nicht ausreichend
• Operiert mit den vollen Berechtigungen der App

In Kombination mit der FileProvider-Fehlkonfiguration (root-path = gesamtes Dateisystem) ergibt sich:

1. Angreifer injiziert JavaScript über manipulierte WebView-Inhalte
2. JS-Bridge leitet Befehle an native Schicht weiter
3. FileProvider gewährt Zugriff auf jede Datei im App-Kontext
4. Ergebnis: Vollständige App-Kompromittierung inkl. Tokens, Credentials, lokale Daten

Die Connect Plug&Play App nutzt die VW-Gruppe Identity-Plattform (identity.vwgroup.io). Ein kompromittierter App-Kontext kann potenziell:

• OAuth-Tokens der VW-Plattform auslesen
• Fahrzeugtelemetrie-Daten abfangen
• Gespeicherte Fahrzeugbefehle manipulieren

Die Kette JS-Bridge → FileProvider → Token-Exfiltration betrifft nicht nur Audi, sondern die gesamte VW-Konzernplattform.

• Audi Schwachstellen: VW-Konzern verweist auf Bugcrowd — Forscher veröffentlicht
• Audi Personaldaten-Skandal: Testpasswort #audi4ringe öffnet 66 HR-Endpunkte
• Audi Hardcoded Credentials: Demo-Account öffnet komplettes HR-Backend
• Audi Coordinated Disclosure gescheitert: Bugcrowd als Sackgasse für seriöse Forschung
• Audi API-Schlüssel exponiert: Maps, Geocoding, Places — alles ungeschützt im APK
• Audi Security Fail: FileProvider konfiguriert mit root-path statt spezifischem Pfad