Bezpečnostní výzkumníci Shubham Shah a Sam Curry zjistili, že přihlašovací systémy mobilních aplikací dvou automobilových značek bylo možné zcela ovládnout. Obě aplikace využívaly identitní platformu ForgeRock, která dnes patří pod Ping Identity. Na příslušných serverech výzkumníci narazili na administrátorskou konzoli, která stále používala výchozí přihlašovací údaje, tedy „admin“ jako uživatelské jméno i heslo.
Konzole sice nebyla přímo dostupná z internetu, jenže bezpečnostní vrstva na okraji sítě a javový server interpretovaly tutéž webovou adresu odlišně. Pomocí kódovaných lomítek a přidaných znaků tak výzkumníci blokaci obešli. Přes vestavěný plánovač úloh v konzoli pak spouštěli skripty, které jim daly možnost zadávat příkazy přímo na identitním serveru se zákaznickými záznamy obou značek.
Od převzetí účtu k nastartovanému autu
Výzkumníci změnili e-mail a heslo cílového účtu, přihlásili se běžnou aplikací a získali stejné přístupové tokeny, jaké používá legitimní aplikace. S nimi za přítomnosti majitele odemkli a nastartovali testovací vůz, poté motor vypnuli a auto zamkli. Změna údajů přitom skutečného majitele neodhlásila a výzkumníci si navíc mohli přesměrovat upozornění z účtu na vlastní telefon. Původní e-mailovou adresu po testu vrátili. Článek neuvádí, zda chybu objevil či zneužil ještě někdo jiný.
Testování probíhalo v únoru 2026 na vozech samotných výzkumníků a na autech majitelů, kteří k tomu dali souhlas, a to ve Spojených státech. Podle výzkumníků celý řetězec „otestovali pouze s americkými účty a vozidly“. Oba systémy byly opraveny zhruba dvě hodiny po nahlášení. Shah zvlášť zveřejnil útok na australské systémy, kde zůstaly administrátorské údaje k identitnímu serveru v kódu aplikace určeném pro testovací prostředí. V kombinaci s americkou metodou mohli výzkumníci podle svých slov posílat příkazy k odemčení a nastartování autům v Austrálii, USA i Kanadě. Datum opravy pro Austrálii není známo.
Protože šlo o chybu v konfiguraci, nikoli v produktu, neexistuje k ní CVE ani bulletin výrobce. Příručka pro zabezpečení ForgeRock přitom už nyní doporučuje konzoli před ostrým provozem odstranit nebo změnit heslo. Týmy používající software, nyní prodávaný jako PingIDM, by měly zkontrolovat konzoli Apache Felix na cestě /system/console a nespoléhat na pravidla WAF při skrývání administrátorských stránek. Stejná dvojice výzkumníků už dříve demonstrovala vzdálený přístup k vozům Honda, Kia a Subaru a studie 16 značek z roku 2023 odhalila podobné slabiny ve velké části odvětví. Které dvě značky byly tentokrát postiženy, článek neuvádí.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
