Zwei Automobilhersteller verwundbar durch Standardzugangsdaten

clear glass building interior during daytime — LYCS Architecture / Unsplash

Zwei Automobilhersteller waren durch eine Sicherheitslücke in ihren Kundensystemen gefährdet, die es Angreifern ermöglichte, Fahrzeuge fernzusteuern. Die Schwachstelle bestand darin, dass die Standardbenutzername und das Standardpasswort auf den Servern nicht geändert wurden. Sicherheitsforscher entdeckten diese Konfigurationsfehler in den mobilen Anwendungen der beiden Hersteller. Die Details der Untersuchung wurden am 7. November veröffentlicht. Auf Bitten der betroffenen Unternehmen wurden deren Namen in der Berichterstattung nicht genannt. Die Forscher nutzten die Plattform ForgeRock für die Identitätsverwaltung in den mobilen Apps. Sie fanden eine Verwaltungskonsole von Apache Felix, die hinter einer Firewall lag. Durch speziell erstellte Internetadressen umgingen sie diese Schutzmaßnahme. Auf dem darauf folgenden Anmeldebildschirm versuchten sie die Standardzugangsdaten. Bei beiden Herstellern waren Benutzername und Passwort auf „admin“ gesetzt. Mit diesem Zugriff konnten die Forscher eigenen Code auf den Servern ausführen.

Sie erreichten das System, in dem die Kundendaten verwaltet wurden. Dadurch konnten sie E-Mail-Adressen und Passwörter von Kunden ändern. Um die Auswirkungen zu demonstrieren, änderten die Forscher die E-Mail-Adresse eines Testkontos auf eine Adresse unter ihrer Kontrolle. Sie setzten ein neues Passwort und meldeten sich in der mobilen App an. Der sechsstellige Bestätigungscode wurde direkt an die Forscher gesendet. Sie hatten Zugriff auf Fahrgestellnummer, Modell und Abonnementinformationen des Fahrzeugs. Sie nutzten die Fernsteuerungsfunktionen der App. Die Türen des Testfahrzeugs wurden ferngesteuert geöffnet und der Motor gestartet. Anschließend wurde der Motor gestoppt und die Türen wieder verriegelt. Der Fahrzeugbesitzer konnte den Zugriff schwer bemerken, da die bestehende Sitzung in der App nicht beendet wurde. Der echte Besitzer konnte die App weiterhin nutzen und erkannte den Diebstahl des Kontos nicht sofort. Die Forscher testeten den vollständigen Angriffsvektor auf Konten und Fahrzeuge in den Vereinigten Staaten.

Shubham Shah entdeckte in den Systemen derselben Marken in Australien eine weitere Sicherheitslücke. Dort waren Administratorzugangsdaten im Code der mobilen App eingebettet. Zusammen ermöglichten die beiden Schwachstellen das Fernöffnen von Schlössern und das Starten von Motoren in den Vereinigten Staaten, Kanada und Australien. Die Hersteller lösten die Probleme etwa zwei Stunden nach der Meldung. Die offenen Zugangsdaten wurden geändert. Nutzer müssen keine Updates auf ihre Telefone oder Fahrzeuge installieren. Das Problem lag in der Serverkonfiguration der Hersteller. Die Forscher hatten zuvor eine ähnliche Schwachstelle bei Subaru entdeckt. In dem Starlink-System von Subaru konnten Angreifer mit bestimmten persönlichen Daten Fahrzeuge öffnen, Motoren starten und auf ein Jahr Positionsdaten zugreifen. Subaru schloss diese Lücke innerhalb eines Tages nach der Meldung.