Defolt 'admin:admin' server şifrəsi iki avtomobil istehsalçısının hack edilməsinə kömək etdi

İki təhlükəsizlik tədqiqatçısı iki avtomobil markasının mobil tətbiqlərinin arxasındakı giriş sistemlərini ForgeRock identifikasiya serverlərindəki defolt administrator şifrəsindən istifadə edərək ələ keçirə bildiklərini aşkar etdilər. Bu giriş istənilən müştəri hesabına çata bilərdi və ABŞ-da özlərinə və razılıq vermiş sahiblərə məxsus avtomobillərdə aparılan sınaqlarda qapıları açmağa və mühərrikləri işə salmağa imkan verdi. Hər iki sistem problem bildirildikdən təxminən iki saat sonra düzəldildi.

Defolt şifrə konsolu necə açdı

Hər iki marka müştəriləri ForgeRock vasitəsilə daxil edirdi; ForgeRock indi Ping Identity-nin bir hissəsi olan identifikasiya platformasıdır. Bu platforma iki hissədə işləyir: biri giriş üçün, digəri OpenIDM adlanır və müştəri qeydlərini saxlayır. OpenIDM Apache Felix ilə işləyən quraşdırılmış administrator konsolunu ehtiva edir. Bu serverlərdə konsol qalıb və hələ də sənədləşdirilmiş defoltu istifadə edirdi; istifadəçi adı və şifrə hər ikisi admin idi. O, açıq internetdən bloklansa da, saytı qoruyan kənar qat və onun arxasındakı Java proqramı eyni veb ünvanı fərqli oxuyurdu. Kodlanmış slash işarələri və əlavə simvollar əlavə etməklə tədqiqatçılar kənar qatı sorğunu zərərsiz statik fayl kimi qəbul etməyə, serveri isə onu konsola gedən yol kimi qəbul etməyə vadar etdilər. Konsolun içində quraşdırılmış planlayıcı (scheduler) öz kodlarını identifikasiya serverində icra edən kiçik skriptləri işlədirdi və bu, hər iki markanın giriş sistemləri üçün müştəri qeydlərini saxlayan maşında əmr sətiri əldə etmələrinə səbəb oldu.

Hesab girişindən avtomobil əmrlərinə

Tədqiqatçılar hədəf hesabın e-poçt ünvanını və şifrəsini dəyişdi, adi tətbiq vasitəsilə həmin müştəri kimi daxil oldu və real tətbiqin istifadə etdiyi eyni giriş tokenlərini aldı. Hesabın öz avtomobil əmrlərindən istifadə edərək sınaq avtomobilinin qapılarını açdılar və mühərrikini işə saldılar; sahibi avtomobilin yanında dayanmışdı, sonra mühərriki söndürüb qapıları yenidən kilidlədilər. Onlar təsirlənmiş serverlərdə istənilən müştəri hesabına sessiya aça bildiklərini söylədilər, lakin avtomobil əmrlərini yalnız özlərinə məxsus və ya istifadəsinə icazə verilmiş avtomobillərdə icra etdilər və tam zənciri yalnız ABŞ hesabları və avtomobilləri ilə sınaqdan keçirdilər. E-poçt ünvanı və şifrənin dəyişdirilməsi sahibi tətbiqdən çıxarmadı və tədqiqatçılar hesabın xəbərdarlıqlarını öz telefonlarına yönləndirə bildilər. Sınaqdan sonra real e-poçt ünvanını geri qaytardılar. Heç bir yazıda bu yolun bağlanmazdan əvvəl başqası tərəfindən tapılıb-tapılmadığı və ya istifadə olunub-olunmadığı qeyd edilmir.

Avstraliyada ayrı yol

Shubham Shah eyni markaların arxasındakı Avstraliya sistemlərinə ikinci hücumu dərc etdi. Orada giriş yolu fərqli idi: identifikasiya serveri üçün administrator məlumatları test qurğusu üçün nəzərdə tutulmuş şəkildə tətbiqin kodunda qalmışdı. O, Avstraliya zəncirinin tam təsvirini ayrı yazıda verdi. Hər iki hücum birlikdə nəzərə alındıqda, tədqiqatçılar Avstraliya, ABŞ və Kanadadakı markaların avtomobillərinə kilid açma və mühərrik işə salma əmrləri göndərə bildiklərini söylədilər. İkinci yazıda Avstraliya sistemlərinin nə vaxt düzəldiyi göstərilmir.

Identifikasiya komandaları nəyi yoxlamalıdır

Markaların xətası məhsulun yeni bir səhvi deyil, ForgeRock-u işlətmə üsullarında idi; ona görə də izləməli CVE və ya satıcı tövsiyəsi yoxdur. Konsol və onun defolt şifrəsi illərdir sənədləşdirilib və istehsalçının istehsal üçün sərtləşdirmə təlimatı operatorlara canlıya çıxmazdan əvvəl konsolu silməyi və ya şifrəsini dəyişməyi tapşırır. Eyni identifikasiya proqramını işlədən komandalar üçün, indi PingIDM adı ilə satılan proqramda, iki yoxlama vacibdir: /system/console ünvanında Apache Felix konsolunu axtarın və onu silin və ya defolt şifrəsini dəyişin; həmçinin kənar qat və ya WAF yol qaydalarına inanaraq administrator səhifəsini gizlətməyin. İki tədqiqatçının bu sahədə uzun təcrübəsi var. Onlar Honda, Kia və Subaru da daxil olmaqla avtomobillərə uzaqdan giriş nümayiş etdiriblər və 2023-cü ildə aparılan daha geniş 16 markalı araşdırma sənayenin böyük hissəsində eyni növ veb zəifliyini aşkar etdi.

Mənbələr: The Hacker News