Հետազոտողները հեռակա կերպով բացել և գործարկել են երկու ավտոարտադրողների միացված մեքենաները

Երկու անվտանգության հետազոտողներ՝ Շուբհամ Շահը և Սեմ Կարին, 2026 թվականի սկզբին խոցելիություններ են հայտնաբերել երկու անանուն ավտոարտադրողների միացված մեքենաների հետին համակարգերում, ինչը թույլ էր տալիս հեռակա կերպով բացել դռները և գործարկել շարժիչը ինտերնետին միացված տրանսպորտային միջոցներում: Խնդիրները արագ շտկվել են, սակայն դրանք բացահայտել են թույլ անվտանգության պրակտիկաներ, այդ թվում՝ կոշտ կոդավորված հավատարմագրեր և սխալ կարգավորված բազմագործոն նույնականացման հոսք: Հետազոտողները նաև պարզել են, որ խոցելիությունները կարող էին բացահայտել տրանսպորտային միջոցի գտնվելու վայրը, վազքը, վառելիքի մակարդակը, ընթացքի հեռավորությունը, դռների վիճակը և հաճախորդների անձնական տվյալները:

Ազդված տրանսպորտային միջոցները և շրջանակը

Սպիտակ գլխարկով զույգը չի բացահայտել ազդված ավտոարտադրողների անունները: Շահը և Կարին հասանելիություն են ստացել Ավտոարտադրող 1-ի տրանսպորտային միջոցներին Միացյալ Նահանգներում, իսկ Ավտոարտադրող 2-ի տրանսպորտային միջոցները ենթակա էին չպլանավորված կողպեքազրկման Ավստրալիայում, Միացյալ Նահանգներում և Կանադայում: Միայն տեսողական զննության հիման վրա երկրորդ ընկերությունը կարող է լինել Toyota, քանի որ հաքերային ցուցադրության տեսանյութում, ըստ երևույթին, պատկերված է RAV4 մակնիշի SUV: Նրանց գրառումներից մեկը վերաբերում է ForgeRock-ի հետ կապված հարցերին երկու ընկերությունների համար, իսկ Շահի հոդվածը քննարկում է Ավտոարտադրող 2-ի և նրա ավստրալիական միացված մեքենաների ենթակառուցվածքի մանրամասները:

Երկու ազդված ավտոարտադրողներն էլ օգտագործում են ForgeRock-ի նույնականացման և լիազորման ծառայությունները: Հետազոտողների խոսքով՝ մեկ փոքր բացառությամբ խոցելիությունները բխել են վատ իրականացումներից և անվտանգության պրակտիկաներից, այլ ոչ թե ForgeRock-ից իրենից:

Ինչպես են հայտնաբերվել խոցելիությունները

Շահը սկսել է՝ ապակոմպիլացնելով Ավտոարտադրող 2-ի Android հավելվածը և գտնելով ցանցային կանչեր դեպի տելեմատիկայի ենթադոմեն: Նա արագ գտել է admintool գտնվելու վայրը՝ պարունակող TEST HARNESS էջը մուտքի հուշումով: Առաջին խնդիրը այն էր, որ այս վերջնակետը հասանելի էր ինտերնետից ընդհանրապես:

Երկրորդ խնդիրը JavaScript փաթեթն էր, որը պետք է մաքրվեր անհրաժեշտ չլինող կոդից, սակայն փոխարենը պարունակում էր հետին համակարգի ամբողջ ֆունկցիոնալության կոդը: Այդ փաթեթը նաև պարունակում էր կոշտ կոդավորված API բանալիներ, որոնք բավարար էին՝ Շահին հաճախորդների տվյալները բացելու համար: Հարցումները շղթայելուց և համարանիշը VIN-ին կապելուց՝ օգտագործելով հանրային տեղեկություններ, հետազոտողները այդ VIN-ը կապեցին հաճախորդի հետ և գտան հաճախորդի էլեկտրոնային փոստի հասցեն:

Թիմը նաև պարզել է, որ JavaScript փաթեթը պարունակում էր կոշտ կոդավորված ադմինիստրատորի հավատարմագրեր, որոնք, հավանաբար, նախատեսված էին փորձարկման միջավայրի համար: Այդ հավատարմագրերը օգնեցին բացահայտել օգտատերերի գաղտնաբառերի հեշերը, սակայն հեշերը SHA-512 էին, ուստի դրանց կոտրումը անիրագործելի էր: Հետազոտողները նաև գտել են pinService՝ հասանելի Վեբ հավելվածների կրակապատի միջոցով, և getUser ֆունկցիա, որը կարող էր ստանալ օգտատերերի տվյալները՝ օգտագործելով էլեկտրոնային փոստը, հեռախոսը և ID-ն:

Հաշվի զավթում և տրանսպորտային միջոցի հրամաններ

ForgeRock-ի օգտագործումը ուսումնասիրելուց մի քանի շաբաթ անց հետազոտողները եզրակացրել են, որ ամենահեշտ ճանապարհը ցանկացած օգտատիրոջ համար մուտքի տոկեն ստեղծելն էր: Նրանք օգտագործել են GPT-5.6 Sol Ultra՝ ճանապարհների անունները բրուտֆորսելու համար, և գտել են անպաշտպան ճանապարհ, որը վերջիվերջո թույլ էր տալիս վերագրել ցանկացած օգտատիրոջ գաղտնաբառը՝ մասամբ հնարավոր դարձնելով հաշվի զավթումը: Բազմագործոն նույնականացումը մնացել էր, սակայն ավստրալիական միջավայրը թույլ էր տալիս օգտատերերին ամբողջությամբ բաց թողնել MFA-ն:

Վերջնակետերի և բջջային հավելվածի միջև տոկենները տեղափոխելով՝ հետազոտողները կարողացել են ստեղծել մուտքի տոկեններ և ամբողջությամբ նմանվել ցանկացած օգտատիրոջ հաշվին: Այնուհետև նրանք ուղարկել են API հարցում դռները բացելու հրամանի համար, և փորձարկման մեքենան անմիջապես բացվել է: Խոցելիությունները նաև բացահայտել են տրանսպորտային միջոցի գտնվելու վայրը, վազքը, վառելիքի մակարդակը, ընթացքի հեռավորությունը, դռների վիճակը և հաճախորդների անձնական տվյալները:

Աղբյուրներ՝ Tom's Hardware