Due case automobilistiche esposte a un difetto di sicurezza incredibile: nome utente e password entrambi "admin"

a room with a table and chairs — Maciej Drążkiewicz / Unsplash

Ricercatori di sicurezza hanno scoperto che due produttori di automobili utilizzavano le credenziali predefinite "admin" come nome utente e password per accedere ai loro sistemi di gestione. Questo difetto ha lasciato i conti dei clienti e i veicoli collegati vulnerabili agli attacchi. I ricercatori Sam Curry e Shubham Shah hanno pubblicato i dettagli della scoperta il 7 novembre, anche se i nomi dei produttori non sono stati divulgati su richiesta delle aziende.

Entrambi i produttori utilizzavano ForgeRock, una piattaforma di gestione dell'identità, per i sistemi di accesso dei clienti nelle loro applicazioni mobili. I ricercatori hanno scoperto una console di gestione denominata Apache Felix dietro un firewall che doveva bloccare l'accesso diretto da internet. Tuttavia, utilizzando indirizzi web appositamente costruiti, hanno aggirato il firewall e hanno trovato la schermata di accesso con le credenziali predefinite ancora attive su entrambi i server.

Con questo accesso, i ricercatori hanno potuto eseguire il proprio codice sul server e raggiungere il sistema in cui erano gestiti i dati dei clienti. Hanno dimostrato il difetto modificando l'indirizzo e-mail e la password di un account di prova, quindi accedendo all'applicazione mobile del veicolo come un utente normale. Hanno ricevuto il codice di verifica a sei cifre inviato all'account e hanno potuto accedere alle informazioni del telaio, al modello e ai dati dell'abbonamento del veicolo. Più significativamente, hanno utilizzato le funzioni di controllo remoto disponibili nel'applicazione, aprendo le portiere del veicolo di prova da remoto e avviando il motore.

I ricercatori hanno notato che il proprietario del veicolo avrebbe avuto difficoltà a scoprire l'accesso non autorizzato. Anche se l'indirizzo e-mail e la password dell'account erano stati modificati, la sessione dell'applicazione mobile esistente non è stata terminata, consentendo al proprietario legittimo di continuare a utilizzare l'applicazione senza rendersi conto che l'account era stato compromesso. I test sono stati condotti su account e veicoli negli Stati Uniti, e Shah ha scoperto un difetto di sicurezza separato nei sistemi australiani della stessa marca, dove le credenziali di amministratore erano incorporate nel codice dell'applicazione mobile.

I ricercatori hanno segnalato i difetti ai produttori di automobili, che hanno risolto i problemi e modificato le credenziali di accesso esposte circa due ore dopo la notifica. Gli utenti non hanno avuto bisogno di scaricare alcun aggiornamento sui loro telefoni o veicoli, poiché il problema risiedeva nella configurazione di sicurezza dei server dei produttori piuttosto che nei veicoli stessi.