CVE-2026-49316
Indian Scout Bobber 2025 WCM CAN bus-off attack silently bypasses anti-theft shutdown
Что произошло
Expected behavior violation in the in-vehicle network of the Indian Motorcycle Scout Bobber + Tech 2025 model year allows an adjacent-network attacker to bypass the motorcycle's anti-theft shutdown by forcing the Wireless Control Module (WCM) into the CAN bus-off state. Using a well-known CAN error-frame injection technique against a periodic WCM transmission, the attacker drives the WCM CAN controller's transmit error counter past the bus-off threshold, after which the WCM stops transmitting all messages, including the shutdown command. Peer ECUs do not interpret WCM silence as a security event and continue normal operation, allowing the motorcycle to be operated despite the immobilizer never having been unlocked. Specific protocol details have been withheld pending vendor remediation.
Что это значит
В источнике описана ошибка безопасности в перечисленных продуктах. Фактический риск зависит от установленной версии, конфигурации и доступности компонента; проверьте условия в первичном бюллетене.
Что делать
1. Проверьте, затронуты ли вы
Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.
dpkg-query -W -f='${Package} ${Version}\n'rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'Get-HotFix | Select-Object HotFixID, InstalledOn
2. Установите исправление
Treat absence of the WCM heartbeat as a security event in peer ECUs — command shutdown if the WCM's periodic message is missing beyond a bounded interval. Authenticate the heartbeat with AUTOSAR SecOC or equivalent to prevent post-silence spoofing. Auto-recover the WCM from bus-off and log the event.
3. Временные меры
До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.
4. Проверьте следы эксплуатации
Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.
5. После исправления
- Проверьте фактическую версию и результат установки по бюллетеню.
- При необходимости перезапустите сервисы в согласованное окно.
- Повторите проверку сканером и функциональные проверки.
- Зафиксируйте результат, дату, владельца и оставшийся риск.
Продукты и затронутые версии
Indian Motorcycle / Scout Bobber + Tech
{
"status": "affected",
"version": "2025",
"versionType": "model-year"
}CVSS: оценки и векторы
CVSS 3.1 · cve4.6
CVSS:3.1/AV:P/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
CVSS 4.0 · cve4.1
CVSS:4.0/AV:P/AC:L/AT:P/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
Источники и ссылки
Происхождение полей
{
"cwes": [
"cve"
],
"epss": {
"source": "epss",
"received_at": "2026-11-03T21:13:52.755070+00:00"
},
"title": {
"source": "cve",
"received_at": "2026-10-28T18:37:38.758043+00:00"
},
"scores": [
"cve"
],
"status": {
"source": "cve",
"received_at": "2026-10-28T18:37:38.758043+00:00"
},
"affected": [
"cve"
],
"published": {
"source": "cve",
"received_at": "2026-10-28T18:37:38.758043+00:00"
},
"solutions": [
"cve"
],
"percentile": {
"source": "epss",
"received_at": "2026-11-03T21:13:52.755070+00:00"
},
"references": [
"cve"
],
"description": {
"source": "cve",
"received_at": "2026-10-28T18:37:38.758043+00:00"
},
"workarounds": [],
"configurations": []
}Хронология записи
- Данные обновлены04.11.2026, 00:13
- Данные обновлены03.11.2026, 00:12
- Данные обновлены02.11.2026, 00:11
- Данные обновлены31.10.2026, 11:58
- Данные обновлены29.10.2026, 12:29
- Опубликована28.10.2026, 21:37
Личная заметка и статус
Другие CVE того же продукта
| УЯЗВИМОСТЬ / ПРОДУКТ | ПРИОРИТЕТ | CVSS | EPSS | СИГНАЛЫ | ОПУБЛИКОВАНА | Карточка |
|---|---|---|---|---|---|---|
| CVE-2026-49318 Indian Scout Bobber 2025 Infotainment Digital Round skips PIN entry when WCM is silent at boot Indian Motorcycle / Scout Bobber + Tech | Низкий | 1.0 | 0,14 % | 29.05.2026 | ||
| CVE-2026-49317 Indian Scout Bobber 2025 Infotainment Digital Round skips PIN entry when WCM is silent at boot Indian Motorcycle / Scout Bobber + Tech | Низкий | 1.0 | 0,14 % | 29.05.2026 | ||
| CVE-2026-49325 Indian Scout Bobber 2025 WCM voltage-based shutdown Indian Motorcycle / Scout Bobber + Tech | Средний | 4.1 | 0,16 % | 29.05.2026 | ||
| CVE-2026-49324 Indian Scout Bobber 2025 WCM brute-force Indian Motorcycle / Scout Bobber + Tech | Средний | 4.1 | 0,17 % | 29.05.2026 | ||
| CVE-2026-49323 Indian Scout Bobber 2025 WCM-to-ECM weak authentication Indian Motorcycle / Scout Bobber + Tech | Средний | 4.1 | 0,11 % | 29.05.2026 |