Два производителя автомобилей использовали пароль «admin» для доступа к системам управления

Two white security cameras mounted on a pole against a clear blue sky — Michał Jakubowski / Unsplash

Исследователи обнаружили критическую уязвимость в системах двух производителей автомобилей, которая позволяла получить доступ к учетным записям клиентов и управлению транспортными средствами, используя только учетные данные по умолчанию. Оба производителя установили одинаковое имя пользователя и пароль «admin» на серверах, где хранились данные клиентов.

Исследователи безопасности Сэм Карри и Шубхам Шах обнаружили уязвимость в мобильных приложениях обоих производителей. Оба использовали платформу управления идентификацией ForgeRock для входа пользователей. Исследователи нашли консоль управления Apache Felix, которая находилась за брандмауэром, но они смогли обойти защиту, используя специально подготовленные веб-адреса. После входа с учетными данными администратора они получили доступ к системе управления записями клиентов и смогли изменять адреса электронной почты и пароли пользователей.

Используя скомпрометированный тестовый аккаунт, исследователи получили доступ к мобильному приложению автомобиля и функциям удаленного управления. Они смогли удаленно открыть двери и запустить двигатель тестового автомобиля, а затем остановить двигатель и заблокировать двери. Владелец автомобиля не мог сразу заметить компрометацию, поскольку текущий сеанс мобильного приложения не завершался при изменении пароля учетной записи.

Исследователи протестировали полную цепочку атак на учетах и автомобилях в Соединенных Штатах. Шубхам Шах также обнаружил отдельную уязвимость в системах того же производителя в Австралии, где учетные данные администратора были встроены в код мобильного приложения. Согласно результатам обоих исследований, удаленные команды блокировки и запуска двигателя могли быть отправлены на автомобили в Соединенных Штатах, Канаде и Австралии.

Производители закрыли уязвимости примерно через два часа после получения уведомления от исследователей и изменили скомпрометированные учетные данные входа. Пользователям не требовалось устанавливать какие-либо обновления на свои телефоны или автомобили, так как проблема заключалась в конфигурации безопасности серверов производителей, а не в самих транспортных средствах. Детали исследования были опубликованы 7 ноября.