Förvalta inloggningsuppgifter exponerade två bilmärken för attacker

Säkerhetsforskare lyckades intränga i systemen hos två omtalade biltillverkare genom att använda användarnamnet och lösenordet admin. Dessa förvalta inloggningsuppgifter hade lämnats oförändrade på serverna i flera år, vilket gjorde kundkonton och kopplade fordon sårbara. Forskarna kunde genom denna brist öppna bilarnas lås på distans, starta motorerna och spåra fordonens positioner. Bristen påverkade kundinloggningssystemen i de två tillverkarnas mobila appar. Detaljerna om undersökningen publicerades den 7 november, men märkenas namn hölls hemliga på begäran av de berörda företagen. Båda biltillverkarna använde plattformen ForgeRock för hantering av identiteter i sina mobila appar. Forskarna upptäckte en administrationskonsol för Apache Felix som var skyddad av en brandvägg. Genom att använda speciellt utformade nätverksadresser lyckades de kringgå brandväggen och nå inloggningsskärmen. Där fann de att både användarnamnet och lösenordet var inställt till admin på båda serverna.

Med denna åtkomst kunde forskarna köra egen kod på servern och nå det system där kunddata hanterades. De fick därmed möjlighet att ändra valfritt kundkontos e-postadress och lösenord. För att demonstrera konsekvenserna ändrade forskarna e-postadressen för ett testkonto till en adress de kontrollerade och lade ett nytt lösenord. De loggade sedan in i bilens mobilapp som en vanlig användare. Den sexsiffriga verifieringskoden skickades direkt till forskarna. De fick tillgång till bilens chassinummer, modell och prenumerationsinformation. De kunde även använda de distanthyggen som bilägaren normalt använder. Forskarna öppnade testbilens dörrar på distans och startade motorn. De stoppade sedan motorn och lade om dörrarna. Bilägaren hade svårt att märka att kontot hade komprometterats eftersom den befintliga appsessionen inte avslutades trots att inloggningsuppgifterna ändrats. Den riktiga ägaren kunde fortsätta använda appen utan att omedelbart förstå att kontot var hackat. Forskarna testade hela attackkedjan på konton och fordon i USA.