Falha de segurança em duas marcas de automóveis permitia controle remoto de veículos

Investigadores de segurança descobriram que era possível acessar os sistemas de duas fabricantes de automóveis utilizando o nome de usuário e a senha padrão, ambos definidos como admin. Essa vulnerabilidade deixava os clientes e seus veículos conectados expostos a ataques. O problema foi identificado nas plataformas de gestão de identidade usadas nas aplicações móveis das empresas. Os pesquisadores conseguiram entrar nos servidores e modificar registros de clientes, o que lhes dava controle sobre as funções remotas dos carros. A descoberta foi publicada em 7 de novembro, mas os nomes das marcas não foram revelados a pedido das próprias empresas. As duas montadoras utilizavam a plataforma ForgeRock para o login de usuários em seus aplicativos. Os pesquisadores encontraram um console de administração do Apache Felix que estava atrás de um firewall. Eles contornaram essa proteção usando endereços de internet específicos. Ao chegarem à tela de login, testaram as credenciais padrão e descobriram que ambas as marcas ainda usavam admin para usuário e senha. Com esse acesso, os investigadores puderam executar código nos servidores e acessar o sistema que gerenciava os registros dos clientes.

Isso permitia alterar endereços de e-mail e senhas de qualquer conta. Para demonstrar o impacto, os pesquisadores alteraram o e-mail de uma conta de teste para um endereço controlado por eles e definiram uma nova senha. Depois, fizeram login no aplicativo móvel como um usuário normal. O código de verificação de seis dígitos enviado para a conta foi recebido diretamente pelos investigadores. Eles tiveram acesso ao número do chassi, ao modelo do veículo e às informações de assinatura. Mais importante, puderam usar os recursos de controle remoto disponíveis no aplicativo. Os pesquisadores abriram as portas de um carro de teste à distância e ligaram o motor. Em seguida, desligaram o motor e trancaram as portas novamente. O proprietário do veículo teria dificuldade para perceber a invasão, pois a sessão do aplicativo móvel não era encerrada mesmo após a troca de credenciais. O dono continuava usando o aplicativo normalmente, sem saber que sua conta havia sido comprometida. Os testes da cadeia de ataque completa foram realizados em contas e veículos nos Estados Unidos. Shubham Shah encontrou uma falha diferente nos sistemas da Austrália das mesmas marcas.