Исследователи получили доступ к аккаунтам владельцев двух автобрендов и удалённо открыли машину
Исследователи безопасности Шубхам Шах и Сэм Карри обнаружили уязвимость на серверах авторизации, которые использовали мобильные приложения двух автомобильных брендов. Об этом сообщает IXBT News.
Серверы работали на платформе управления учётными записями ForgeRock, принадлежащей теперь Ping Identity. На них сохранилась административная консоль OpenIDM с заводскими учётными данными: логином admin и таким же паролем. «Производитель платформы давно рекомендует отключать эту консоль или менять пароль перед запуском системы в эксплуатацию», — пишет IXBT News.
Консоль не была напрямую доступна из интернета, но исследователи обошли защиту с помощью специально сформированного URL. Пограничный фильтр воспринимал запрос как обращение к обычному статическому файлу, тогда как Java-сервер интерпретировал его как путь к административной консоли. Получив доступ, специалисты запустили собственный код на сервере и добрались до базы данных клиентских учётных записей.
Затем они изменили адрес электронной почты и пароль тестовой учётной записи, вошли в приложение от имени её владельца и получили токены авторизации, используемые для управления автомобилем. На машине, принадлежавшей одному из исследователей, они проверили всю цепочку: дистанционно открыли двери и запустили двигатель, после чего снова заглушили мотор и заперли автомобиль. При этом исследователи утверждают, что могли получить доступ к учётной записи любого клиента на затронутых серверах.
В Австралии Шах обнаружил отдельный способ проникновения в системы тех же брендов: административные учётные данные оказались зашиты непосредственно в код мобильного приложения. В совокупности две уязвимости позволяли отправлять команды автомобилям в США, Австралии и Канаде. Американские системы исправили примерно через 2 часа после сообщения об атаке; дата устранения австралийской проблемы не указана.
Это были ошибки настройки серверов, а не уязвимость самого ForgeRock, поэтому отдельного идентификатора CVE для них нет. Исследователи также отметили, что владелец мог не заметить захват аккаунта: его приложение продолжало работать, а уведомления можно было перенаправить на телефон злоумышленника.
Подписывайтесь на наш Telegram-канал, чтобы быть в курсе всех новостей и событий Рунета.
