--- title: Deux constructeurs automobiles exposés par des identifiants par défaut admin url: https://www.dataloco.com/fr/deux-constructeurs-automobiles-exposes-par-des-identifiants-par-defaut-admin published: 2026-11-12T15:25:16+00:00 language: fr section: Sécurité source: https://www.donanimhaber.com/iki-otomobil-markasinda-akilalmaz-guvenlik-acigi--212681 organizations: ForgeRock, Apache Felix, Subaru, Starlink publisher: Dataloco --- # Deux constructeurs automobiles exposés par des identifiants par défaut admin Deux constructeurs automobiles ont vu leurs systèmes compromis après que des chercheurs en sécurité eurent utilisé le nom d'utilisateur et le mot de passe admin pour accéder à distance à leurs serveurs. Cette faille critique, découverte par Sam Curry et Shubham Shah, a permis aux attaquants de déverrouiller les véhicules, de démarrer les moteurs et de suivre la localisation des automobiles sans l'accord des propriétaires. Les détails de cette vulnérabilité majeure ont été rendus publics le sept novembre, bien que les noms spécifiques des marques concernées n'aient pas été divulgués à la demande des entreprises impliquées. La racine du problème résidait dans l'utilisation d'une plateforme de gestion des identités appelée ForgeRock par les deux fabricants pour leurs applications mobiles. Lors de leurs investigations, les experts ont identifié une console de gestion nommée Apache Felix qui stockait les enregistrements des clients. Bien que cette console fût théoriquement protégée par un pare-feu bloquant l'accès direct depuis internet, les chercheurs ont réussi à contourner cette barrière de sécurité en utilisant des adresses web spécialement conçues. Une fois devant l'écran de connexion, ils ont tenté les identifiants par défaut et ont constaté avec stupeur que le nom d'utilisateur et le mot de passe étaient tous deux configurés sur admin pour les deux marques. Grâce à cet accès non autorisé, les chercheurs ont pu exécuter leur propre code sur les serveurs et atteindre le système de gestion des comptes clients. Ils ont ainsi acquis la capacité de modifier l'adresse électronique et le mot de passe de n'importe quel client. Pour démontrer la gravité de la situation, ils ont testé la procédure sur un compte spécifique en changeant l'adresse de courriel vers une adresse sous leur contrôle et en définissant un nouveau mot de passe. Le code de vérification à six chiffres envoyé par le système leur est parvenu directement, leur permettant de se connecter à l'application mobile comme s'ils étaient les propriétaires légitimes. Une fois connectés, les chercheurs ont accédé au numéro de châssis du véhicule, à son modèle et aux informations relatives à l'abonnement. Plus inquiétant encore, ils ont pu utiliser toutes les fonctions de contrôle à distance offertes par l'application. Ils ont ouvert les portières du véhicule d'essai, démarré le moteur, puis arrêté le moteur et reverrouillé les portes. Une particularité dangereuse de cette faille est que la session de l'application mobile du véritable propriétaire n'était pas terminée même après le changement des identifiants. Le conducteur pouvait donc continuer à utiliser l'application sans se rendre compte immédiatement que son compte avait été piraté. Les tests initiaux ont été menés sur des comptes et des véhicules situés aux États-Unis. Cependant, Shubham Shah a également découvert une vulnérabilité distincte dans les systèmes de ces mêmes marques en Australie, où des identifiants administrateur étaient intégrés directement dans le code de l'application mobile. La combinaison de ces deux recherches a prouvé qu'il était possible d'envoyer des commandes de déverrouillage et de démarrage à distance à des véhicules aux États-Unis, au Canada et en Australie. Peu après la notification de ces failles aux constructeurs, soit environ deux heures plus tard, les deux entreprises ont corrigé les problèmes et modifié les identifiants exposés. Aucune mise à jour n'a été requise sur les téléphones ou les véhicules des utilisateurs car le défaut provenait de la configuration des serveurs. Ce n'est pas la première fois que de tels problèmes sont identifiés, car une faille similaire avait précédemment été trouvée dans le système Starlink de Subaru, permettant également l'accès à l'historique de localisation sur un an. ## This story in other languages - [Deutsch](https://www.dataloco.com/de/zwei-automobilhersteller-verwundbar-durch-standardzugangsdaten) - [Español](https://www.dataloco.com/es/dos-usuarios-de-dos-marcas-de-automoviles-permitieron-el-control-remoto-de-vehiculos-por-una-falla-de-seguridad) - [Italiano](https://www.dataloco.com/it/due-case-automobilistiche-esposte-a-un-difetto-di-sicurezza-incredibile-nome-utente-e-password-entrambi-admin) - [Norsk](https://www.dataloco.com/no/to-bilmerkevarer-hadde-admin-som-bade-brukernavn-og-passord) - [Русский](https://www.dataloco.com/ru/dva-proizvoditelia-avtomobilei-ispolzovali-parol-admin-dlia-dostupa-k-sistemam-upravleniia) - [Nederlands](https://www.dataloco.com/nl/twee-automerken-hadden-ongelooflijke-veiligheidsfout-met-standaardwachtwoord-admin) - [Polski](https://www.dataloco.com/pl/domyslny-login-i-haslo-administratora-w-systemach-dwoch-marek-samochodowych) - [עברית](https://www.dataloco.com/he/story-135) - [Português (Brasil)](https://www.dataloco.com/pt-br/falha-de-seguranca-em-duas-marcas-de-automoveis-permitia-controle-remoto-de-veiculos) - [Svenska](https://www.dataloco.com/sv/forvalta-inloggningsuppgifter-exponerade-tva-bilmarken-for-attacker)