На серверах авторизации исследователи безопасности Шубхам Шах и Сэм Карри обнаружили уязвимость. Мобильные приложения двух автомобильных брендов использовали платформу управления учётными записями ForgeRock, принадлежащую теперь Ping Identity. На её серверах сохранилась административная консоль OpenIDM с заводскими учётными данными: логином admin и таким же паролем. Производитель платформы давно рекомендует отключать эту консоль или менять пароль перед запуском системы в эксплуатацию.
Консоль не была напрямую доступна из интернета, но исследователи обошли защиту с помощью специально сформированного URL. Пограничный фильтр воспринимал запрос как обращение к обычному статическому файлу, тогда как Java-сервер интерпретировал его как путь к административной консоли. Получив доступ, специалисты запустили собственный код на сервере и добрались до базы данных клиентских учётных записей.
Источник изображения: сгенерировано Muse
Затем они изменили адрес электронной почты и пароль тестовой учётной записи, вошли в приложение от имени её владельца и получили токены авторизации, используемые для управления автомобилем. На машине, принадлежавшей одному из исследователей, они проверили всю цепочку: дистанционно открыли двери и запустили двигатель, после чего снова заглушили мотор и заперли автомобиль. При этом исследователи утверждают, что могли получить доступ к учётной записи любого клиента на затронутых серверах.
В Австралии Шах обнаружил отдельный способ проникновения в системы тех же брендов: административные учётные данные оказались зашиты непосредственно в код мобильного приложения. В совокупности две уязвимости позволяли отправлять команды автомобилям в США, Австралии и Канаде. Американские системы исправили примерно через 2 часа после сообщения об атаке; дата устранения австралийской проблемы не указана. Это были ошибки настройки серверов, а не уязвимость самого ForgeRock, поэтому отдельного идентификатора CVE для них нет. Исследователи также отметили, что владелец мог не заметить захват аккаунта: его приложение продолжало работать, а уведомления можно было перенаправить на телефон злоумышленника.
