【招标公告】【分散采购备案单】面向安卓平台的网联汽车车机系统高精度漏洞数据集及测试验证服务专项采购

项目概况

项目名称	面向安卓平台的网联汽车车机系统高精度漏洞数据集及测试验证服务专项采购	项目编号	BF202506090385
开始时间	2025-07-08 11:11	结束时间	2025-07-13 11:11
供应商资格要求	参照《中华人民共和国政府采购法》第二十二条规定的资格条件。	预算金额（元）	***.00
采购方式	单一来源	拟定成交供应商	武汉安天信息技术有限责任公司
单一来源原因	1. 技术专有性与不可替代性 2. 漏洞数据资源唯一性 高精度漏洞数据集需覆盖300+个车联网漏洞且需持续更新漏洞规则知识库。供应商已建成行业领先的漏洞库，该数据集覆盖车载通信协议、操作系统内核到应用服务的全链条漏洞数据，包含300余个车联网专属漏洞特征，涵盖CAN总线畸形报文、Android车机权限绕过等典型风险。 3. 服务本地化与应急响应刚性需求 车机漏洞检测涉及大量敏感数据（如CAN总线通信日志、系统内核调试信息），需供应商技术人员现场部署检测工具、复现漏洞攻击链并提取取证数据。供应商与客户同处武汉市，可提供“2小时响应-8小时闭环”的本地化支持，确保在车机系统OTA升级验证、漏洞修复方案联调等高时效性环节实现实时协同。对比第三方异地供应商，其跨区域协作模式将引入至少48小时以上的响应延迟，且无法保障车载系统渗透测试所需的全物理访问权限（如JTAG调试接口激活、硬件安全模块密钥注入）。 4. 资质壁垒与行业合规门槛

采购服务信息列表

序号	货物（服务）名称	数量	计量单位	预算单价
1	网联汽车车机系统高精度漏洞数据集验证	1	套	***
	技术参数	1.漏洞数据集技术规格 漏洞数据集核心构成 根据车联网系统的特性，面向Android平台的车机系统高精度漏洞数据集需涵盖多种关键漏洞类型且数量不低于300个，具体分为Framework层、Kernel层和Driver层。Framework层 主要分布在应用逻辑和配置层面，容易因编码不当或配置错误而产生；Kernel层主要集中在内核模块和系统核心功能上，一旦被利用，危害极大；Driver层通常出现在设备驱动程序中，由于硬件交互复杂，容易出现边界条件处理不当的情况。 数据来源与标注规范 数据源：Android安全公告、CNVD/CNNVD车联网专项漏洞库 标注字段： 字段名称 内容示例 漏洞ID CVE-2023-21117 漏洞等级 高危 漏洞描述 该漏洞源于权限绕过，隔离进程有可能注册广播接收器，这可能会导致无需额外执行权限的本地权限升级。 影响范围 Android 13车机系统 PoC验证环境 高通SA8155P+Android Automotive 13 数据交付形式 结构化数据包：JSON格式漏洞特征库2.测试验证服务技术要求 测试环境基线配置 类别 硬件要求 软件要求 网络架构要求 基础平台 车机硬件：SA8155P芯片 Android Automotive OS 13 + QNX Hypervisor CAN FD总线（500kbps速率） 内存：≥6GB LPDDR4X 定制中间件版本：v2.3.1（车企提供） 车载以太网（100BASE-T1）辅助设备 Vector CANoe接口卡（VN5640） 模糊测试工具：AFL++ 4.0c V2X通信模拟器（DSRC/LTE-V） 测试内容 （1）静态分析验证 针对车机系统定制化代码开展深度检查，重点排查高风险编码模式。例如，在车企自主开发的语音助手模块中，扫描跨进程通信（Binder调用）是否存在未授权访问风险。通过逆向分析导航引擎的JNI层代码，发现某函数未对输入参数进行边界校验，可能引发整数溢出。对于车机预装的第三方应用，检查是否存在硬编码密钥等。 （2）动态模糊测试 在真实车载网络环境下模拟异常通信行为。通过CANoe设备向总线持续发送两类畸形报文：一类是ID超出标准范围（如0x800-0xFFF），另一类是数据场长度超过64字节的异常帧。测试中发现，某车型网关ECU在接收超长诊断报文（UDS服务0x22）时出现内存泄漏，连续发送500次后触发系统重启。同时，在车载以太网测试中，将DoIP协议的路由激活请求（0x0003）伪装成车辆状态查询（0x0001），成功绕过协议校验机制，暴露出控制指令未鉴权的缺陷。3. 采购交付物清单 交付物类别 具体内容 漏洞数据集 结构化漏洞库（超300个实例）、PoC代码包、攻击向量描述文档 测试分析报告 静态/动态测试原始数据、修复建议 技术支撑文档 数据集接入指南、测试环境搭建手册
	相关材料	附件：技术参数.docx