סיסמת שרת ברירת המחדל 'admin:admin' סייעה לחוקרים לפרוץ לשתי יצרניות רכב

שני חוקרי אבטחה גילו כי יכלו להשתלט על מערכות ההתחברות שמאחורי אפליקציות הנייד של שני מותגי רכב באמצעות שימוש בסיסמת מנהל ברירת מחדל בשרתי זהות של ForgeRock. הגישה יכלה להגיע לכל חשבון לקוח, ובבדיקות שבוצעו על מכוניותיהם שלהם ועל מכוניות של בעלים שנתנו הסכמה בארצות הברית היא אפשרה לפתוח דלתות ולהתניע מנועים. שתי המערכות תוקנו כשעתיים לאחר שהחוקרים דיווחו על הבעיה.

כיצד סיסמת ברירת המחדל פתחה את המסוף

שני המותגים ביצעו התחברות של לקוחות באמצעות ForgeRock, פלטפורמת זהות שכיום היא חלק מ-Ping Identity. פלטפורמה זו פועלת בשני חלקים: אחד להתחברות ואחד, בשם OpenIDM, שמחזיק רשומות לקוחות. OpenIDM כולל מסוף מנהל מובנה המופעל על ידי Apache Felix. בשרתים אלה, המסוף נותר פעיל ועדיין השתמש בברירת המחדל המתועדת, כאשר admin שימש הן כשם המשתמש והן כסיסמה. אף שהגישה אליו נחסמה מהאינטרנט הפתוח, רכיב הקצה ששמר על האתר ותוכנת ה-Java שמאחוריו פירשו את אותה כתובת אינטרנט באופן שונה. על ידי הוספת לוכסנים מקודדים ותווים נוספים, החוקרים גרמו לרכיב הקצה להתייחס לבקשה כאל קובץ סטטי לא מזיק, בעוד השרת התייחס אליה כאל הנתיב למסוף. בתוך המסוף, מתזמן מובנה הריץ סקריפטים קטנים שביצעו קוד משלהם בשרת הזהות, והעניקו להם שורת פקודה במכונה שהחזיקה רשומות לקוחות עבור ההתחברויות של שני המותגים.

מגישה לחשבון לפקודות רכב

החוקרים שינו את כתובת הדוא"ל והסיסמה של חשבון יעד, התחברו כלקוח הזה דרך האפליקציה הרגילה וקיבלו את אותם אסימוני גישה שהאפליקציה האמיתית משתמשת בהם. באמצעות פקודות הרכב של החשבון עצמו, הם פתחו את הדלתות והתניעו את המנוע של רכב בדיקה בזמן שהבעלים עמד לידו, ואז כיבו את המנוע ונעלו אותו שוב. הם ציינו כי יכלו לפתוח הפעלה עבור כל חשבון לקוח בשרתים המושפעים, אך ביצעו פקודות רכב רק על מכוניות שהיו בבעלותם או שהותר להם להשתמש בהן, ובדקו את השרשרת המלאה רק עם חשבונות ורכבים בארצות הברית. שינוי כתובת הדוא"ל והסיסמה לא ניתק את הבעלים מהאפליקציה, והחוקרים יכלו להפנות את ההתראות של החשבון לטלפון שלהם. הם החזירו את כתובת הדוא"ל האמיתית לאחר הבדיקה. אף אחד משני הפרסומים אינו מציין האם מישהו אחר מצא או השתמש בנתיב לפני שהוא נסגר.

נתיב נפרד באוסטרליה

Shubham Shah פרסם מתקפה שנייה על המערכות האוסטרליות שמאחורי אותם מותגים. שם, דרך הכניסה הייתה שונה: פרטי התחברות של מנהל לשרת הזהות הושארו בקוד של האפליקציה, שיועדו להגדרת בדיקה. הוא פירט את השרשרת המלאה באוסטרליה בפוסט נפרד. עם שתי המתקפות יחד, החוקרים ציינו כי יכלו לשלוח פקודות פתיחה והתנעת מנוע למכוניות של המותגים באוסטרליה, בארצות הברית ובקנדה. הפוסט השני אינו מציין תאריך שבו המערכות האוסטרליות תוקנו.

מה צוותי זהות צריכים לבדוק

הטעות של המותגים הייתה באופן שבו הם הפעילו את ForgeRock, ולא באג חדש במוצר, ולכן אין CVE ואין הודעת יצרן לעקוב אחריה. המסוף וסיסמת ברירת המחדל שלו מתועדים כבר שנים, ומדריך ההקשחה לייצור של היצרן כבר מורה למפעילים להסיר את המסוף או לשנות את הסיסמה שלו לפני העלייה לאוויר. עבור צוותים שמפעילים את אותה תוכנת זהות, הנמכרת כיום בשם PingIDM, שתי בדיקות חשובות: לחפש את מסוף Apache Felix בנתיב /system/console ולהסיר אותו או לשנות את סיסמת ברירת המחדל שלו, ולא לסמוך על כללי נתיבים של רכיב קצה או WAF כדי להסתיר דף ניהול. לשני החוקרים יש רקורד ארוך של עבודות מסוג זה. הם הדגימו גישה מרחוק לרכבים של Honda, Kia ו-Subaru, בין היתר, ומחקר רחב יותר שכלל 16 מותגים בשנת 2023 מצא את אותו סוג של חולשת רשת ברחבי חלק גדול מהענף.

מקורות: The Hacker News