To bilmerkevarer hadde "admin" som både brukernavn og passord

assorted-color security cameras — Lianhao Qu / Unsplash

Sikkerhetsforsker oppdaget at to bilprodusenter brukte de samme standardiserte påloggingsopplysningene på serverne sine, noe som gjorde det mulig for angripere å få tilgang til kundekontiene og kjøretøyene. Forskerne Sam Curry og Shubham Shah fant at begge produsentene hadde satt brukernavn og passord til "admin" på administrasjonskonsoller som var koblet til deres mobilapplikasjoner. Funnene ble offentliggjort 7. november, men produsentenes navn ble ikke avslørt på deres anmodning.

Begge bilprodusentene brukte ForgeRock, en identitetsstyringplattform, for kundepålogging i mobilappene sine. Forskerne oppdaget en administrasjonskonsoll kalt Apache Felix som var plassert bak en brannmur som skulle blokkere internettilgang. Ved å bruke spesialdesignede nettadresser klarte de å omgå brannmuren. På påloggingsskjermen som dukket opp, prøvde de standardbrukernavn og passord, og begge bilmerkenes servere hadde "admin" som både brukernavn og passord.

Med denne tilgangen kunne forskerne kjøre sin egen kode på serveren og nå systemet der kundeopplysninger ble administrert. Dette ga dem muligheten til å endre e-postadressen og passordet til enhver kunde. For å demonstrere sårbarheten endret de e-postadressen til en testkonto til en adresse de kontrollerte og satte et nytt passord. De logget seg deretter inn i bilens mobilapplikasjon som en vanlig bruker og mottok sekssifret verifiseringskoden som ble sendt til kontoen.

Gjennom kontoen fikk de tilgang til kjøretøyets chassis-nummer, modell og abonnementsopplysninger. Viktigere var at de kunne bruke de samme fjernkontrollfunksjonene som bilens eier. Forskerne åpnet dørene på testbilen eksternt og startet motoren. De stoppet deretter motoren og låste dørene igjen. Siden e-postadressen og passordet ble endret mens den eksisterende mobilapplikasjonssesjonen forble aktiv, ville den faktiske bileieren kunne fortsette å bruke appen uten å umiddelbart oppdage at kontoen var blitt kompromittert.

Forskerne testet hele angrepskjeden på kontoer og kjøretøy i USA. Shah fant også en annen sikkerhetssårbarhet i de samme merkenes systemer i Australia, der administratorpåloggingsopplysninger som var innebygd i mobilappens kode kunne brukes til å få tilgang. Sammen viste de to funnene at kjøretøy i USA, Canada og Australia kunne motta fjernlåsing og motorstartkommer.

Forskerene varslet bilprodusentene om sårbarhetene, og begge selskapene fikset problemene og endret de eksponerte påloggingsopplysningene innen omtrent to timer. Brukerne trengte ikke å laste ned oppdateringer på telefonene eller kjøretøyene sine, da problemet var knyttet til sikkerhetskonfigurasjonen på produsentenes servere snarere enn på bilene selv.