Domyślny login i hasło administratora w systemach dwóch marek samochodowych

black and silver camera on black stand — Cool Photos / Unsplash

Dwóch producentów samochodów pozostawiło w swoich systemach domyślne dane logowania, co pozwoliło badaczom bezpieczeństwa uzyskać pełny dostęp do kont klientów i zdalnie sterować pojazdami. Użycie identycznego nazwy użytkownika i hasła administratora wystarczyło do przełamania zabezpieczeń. Producentów nie nazwano na ich prośbę, a szczegóły badania opublikowano 7 listopada.

Badacze Sam Curry i Shubham Shah odkryli, że obie firmy korzystały z platformy zarządzania tożsamością ForgeRock. Zidentyfikowali konsol administracyjny Apache Felix, który był chroniony przez zaporę sieciową. Ominęli to zabezpieczenie, tworząc specjalnie przygotowane adresy internetowe. Po uzyskaniu dostępu do ekranu logowania, sprawdzili domyślne dane. W obu przypadkach nazwa użytkownika i hasło były ustawione na wartość administratora. Dzięki temu badacze mogli wykonywać własny kod na serwerach i uzyskiwać dostęp do systemu zarządzania danymi klientów.

Dostęp do systemu umożliwiał zmianę adresu e-mail i hasła dowolnego klienta. Badacze przeprowadzili test, zmieniając dane logowania konta testowego na kontrolowane przez siebie. Kod weryfikacyjny sześciocyfrowy wysłany na nowe konto dotarł bezpośrednio do nich. Po zalogowaniu do aplikacji mobilnej jako zwykły użytkownik, uzyskali dostęp do numeru nadwozia, modelu i informacji o subskrypcji. Wykorzystali funkcje zdalnego sterowania, aby otworzyć drzwi testowego samochodu i uruchomić silnik. Następnie zatrzymali silnik i zamknęli drzwi. Właściciel pojazdu mógł nie zauważyć przejęcia konta, ponieważ istniejąca sesja aplikacji mobilnej nie była kończona po zmianie danych logowania.

Pełny łańcuch ataku przetestowano na kontach i pojazdach w Stanach Zjednoczonych. Shubham Shah znalazł również inne luki w systemach tych samych marek w Australii, gdzie dane logowania administratora były wbudowane w kod aplikacji mobilnej. Łącznie badanie wykazało, że komendy do otwierania zamków i uruchamiania silników mogły być wysyłane do pojazdów w Stanach Zjednoczonych, Kanadzie i Australii. Producenty naprawiły problemy i zmieniły narażone dane logowania około dwóch godzin po otrzymaniu zgłoszenia. Klienci nie muszą instalować aktualizacji, ponieważ problem dotyczył konfiguracji serwerów, a nie samochodów. Badacze wcześniej odkryli podobną krytyczną lukę w systemie Starlink marki Subaru, która pozwalała na dostęp do historii lokalizacji i sterowanie pojazdem. Subaru naprawiło ten problem w ciągu jednego dnia.