Tədqiqatçılar iki istehsalçının qoşulu avtomobillərini uzaqdan açıb və mühərriki işə salıb

Təhlükəsizlik tədqiqatçıları Şubham Şah və Sem Kurri 2026-cı ilin əvvəlində adı açıqlanmayan iki avtomobil istehsalçısının qoşulu avtomobil arxa sistemlərində boşluqlar tapdılar; bu, internetə qoşulu avtomobillərdə qapıların uzaqdan açılmasına və mühərrikin işə salınmasına imkan verirdi. Problemlər tezliklə aradan qaldırıldı, lakin onlar sərt kodlanmış etimadnamələr və yanlış qurulmuş çoxfaktorlu autentifikasiya axını daxil olmaqla zəif təhlükəsizlik təcrübələrini üzə çıxardı. Tədqiqatçılar həmçinin tapdılar ki, boşluqlar avtomobilin yerini, yürüşünü, yanacağını, gediş məsafəsini, qapı vəziyyətlərini və müştərilərin şəxsi məlumatlarını üzə çıxara bilər.

Təsirlənən avtomobillər və əhatə dairəsi

Ağ papaqlı cüt təsirlənən avtomobil istehsalçılarının adlarını açıqlamadı. Şah və Kurri ABŞ-də Avtomobil İstehsalçısı 1-in avtomobillərinə giriş əldə etdilər, Avtomobil İstehsalçısı 2-nin avtomobilləri isə Avstraliya, ABŞ və Kanadada gözlənilməz kilid açılmasına həssas idi. Yalnız vizual yoxlama əsasında ikinci şirkət Toyota ola bilər, çünki haker hücumunun nümayiş videosu RAV4 SUV modelini əks etdirir. Onların yazılardan biri hər iki şirkət üçün ForgeRock ilə bağlı məsələləri əhatə edir, Şahın məqaləsi isə Avtomobil İstehsalçısı 2 və onun Avstraliyadakı qoşulu avtomobil infrastrukturu haqqında təfərrüatları müzakirə edir.

Hər iki təsirlənən avtomobil istehsalçısı ForgeRock-un autentifikasiya və avtorizasiya xidmətlərindən istifadə edir. Tədqiqatçıların sözlərinə görə, kiçik bir istisna ilə boşluqlar ForgeRock-un özündən deyil, pis tətbiqlər və təhlükəsizlik təcrübələrindən qaynaqlanırdı.

Boşluqlar necə tapıldı

Şah Avtomobil İstehsalçısı 2-nin Android tətbiqini dekompilyasiya etməklə və telematika alt domeninə şəbəkə çağırışlarını tapmaqla başladı. O, tezliklə giriş tələbi olan TEST HARNESS səhifəsini ehtiva edən admintool məkanını tapdı. İlk problem ondan ibarət idi ki, bu endpoint internetdən geniş şəkildə əlçatan idi.

İkinci problem lazımsız koddan təmizlənməli olan, lakin əvəzində arxa sistemin bütün funksionallığı üçün kod ehtiva edən JavaScript dəstəsi idi. Həmin dəstə həmçinin sərt kodlanmış API açarlarını ehtiva edirdi və bu, Şaha müştəri məlumatlarını çıxarmağa kifayət edirdi. Sorğuları zəncirləyərək və ictimaiyyətə açıq məlumatdan istifadə edərək nömrə nişanını VIN ilə əlaqələndirdikdən sonra tədqiqatçılar həmin VIN-i bir müştəriyə bağladılar və müştərinin e-poçtunu tapdılar.

Komanda həmçinin tapdı ki, JavaScript dəstəsi ehtimal ki, staging mühiti üçün nəzərdə tutulmuş sərt kodlanmış administrator etimadnamələrini ehtiva edir. Həmin etimadnamələr istifadəçilərin parol heşlərini üzə çıxarmağa kömək etdi, lakin heşlər SHA-512 idi, ona görə onları sındırmaq qeyri-mümkün idi. Tədqiqatçılar həmçinin Web Application Firewall vasitəsilə əlçatan olan pinService və e-poçt, telefon və ID istifadə edərək istifadəçilərin məlumatlarını əldə edə bilən getUser funksiyasını tapdılar.

Hesabın ələ keçirilməsi və avtomobil əmrləri

ForgeRock-un necə istifadə olunduğunu öyrənmək üçün bir neçə həftə sərf etdikdən sonra tədqiqatçılar ən asan yolun istənilən istifadəçi üçün giriş tokeni yaratmaq olduğunu nəticəyə gəldilər. Onlar yol adlarını brute-force etmək üçün GPT-5.6 Sol Ultra-dan istifadə etdilər və nəticədə istənilən istifadəçinin parolunu üzə yazmağa imkan verən, hesabın ələ keçirilməsini qismən mümkün edən qorunmamış yol tapdılar. Çoxfaktorlu autentifikasiya qaldı, lakin Avstraliya mühiti istifadəçilərə MFA-nı tamamilə ötməyə imkan verirdi.

Endpointlər və mobil tətbiq arasında token dəyişdirilməsi ilə tədqiqatçılar giriş tokenləri yarada və istənilən istifadəçi hesabını tam şəkildə təqlid edə bilirdilər. Sonra onlar qapı açma əmri üçün API sorğusu göndərdilər və test avtomobili dərhal açıldı. Boşluqlar həmçinin avtomobilin yerini, yürüşünü, yanacağını, gediş məsafəsini, qapı vəziyyətlərini və müştərilərin şəxsi məlumatlarını üzə çıxarırdı.

Mənbələr: Tom's Hardware