Լռելյայն 'admin:admin' սերվերի գաղտնաբառը հետազոտողներին օգնել է կոտրել երկու ավտոարտադրողների համակարգերը

Երկու անվտանգության հետազոտողներ հայտնաբերել են, որ կարող են վերահսկողության տակ վերցնել երկու ավտոբրենդների բջջային հավելվածների մուտքի համակարգերը՝ ForgeRock ինքնության սերվերներում օգտագործելով լռելյայն ադմինիստրատորի գաղտնաբառը։ Հասանելիությունը կարող էր տարածվել ցանկացած հաճախորդի հաշվի վրա, և ԱՄՆ-ում իրենց սեփական ու համաձայնություն տված սեփականատերերի մեքենաների վրա կատարված փորձարկումների ժամանակ այն հնարավորություն է տվել բացել դռները և գործարկել շարժիչները։ Երկու համակարգերն էլ շտկվել են մոտ երկու ժամ անց այն բանից հետո, երբ հետազոտողները հայտնել են խնդրի մասին։

Ինչպես լռելյայն գաղտնաբառը բացեց կոնսոլը

Երկու բրենդներն էլ հաճախորդներին մուտք էին գործում ForgeRock-ի միջոցով, որը ինքնության հարթակ է և այժմ Ping Identity-ի մաս է կազմում։ Այդ հարթակն աշխատում է երկու մասով. մեկը՝ մուտքի համար, մյուսը, որը կոչվում է OpenIDM, պահում է հաճախորդների գրառումները։ OpenIDM-ը ներառում է ներկառուցված ադմինիստրատորի կոնսոլ, որն աշխատում է Apache Felix-ի հիման վրա։ Այս սերվերներում կոնսոլը մնում էր և շարունակում էր օգտագործել փաստաթղթավորված լռելյայն արժեքը, որտեղ admin-ը օգտագործվում էր և՛ որպես օգտանուն, և՛ որպես գաղտնաբառ։ Չնայած այն արգելափակված էր բաց ինտերնետից, կայքը պաշտպանող եզրային համակարգը և դրա հետևում աշխատող Java ծրագրակազմը նույն վեբ հասցեն տարբեր կերպ էին մեկնաբանում։ Կոդավորված թեք գծեր և լրացուցիչ նիշեր ավելացնելով՝ հետազոտողները կարողացան այնպես անել, որ եզրային համակարգը հարցումը դիտարկի որպես անվնաս ստատիկ ֆայլ, մինչդեռ սերվերը այն դիտարկում էր որպես կոնսոլ տանող ուղի։ Կոնսոլի ներսում ներկառուցված պլանավորողը գործարկում էր փոքր սկրիպտներ, որոնք կատարում էին նրանց սեփական կոդը ինքնության սերվերի վրա՝ նրանց տալով հրամանային տող այն մեքենայի վրա, որտեղ պահվում էին երկու բրենդների մուտքերի հաճախորդների գրառումները։

Հաշվի հասանելիությունից դեպի մեքենայի հրամաններ

Հետազոտողները փոխեցին թիրախային հաշվի էլեկտրոնային փոստի հասցեն և գաղտնաբառը, մուտք գործեցին որպես այդ հաճախորդ սովորական հավելվածի միջոցով և ստացան նույն հասանելիության տոկենները, որոնք օգտագործում է իրական հավելվածը։ Օգտագործելով հաշվի սեփական մեքենայի հրամանները՝ նրանք բացեցին փորձնական մեքենայի դռները և գործարկեցին շարժիչը, մինչ սեփականատերը կանգնած էր դրա կողքին, այնուհետև անջատեցին շարժիչը և նորից կողպեցին մեքենան։ Նրանք ասացին, որ կարող էին բացել սեսիա տուժած սերվերների ցանկացած հաճախորդի հաշվի համար, բայց մեքենայի հրամանները գործարկել են միայն այն մեքենաների վրա, որոնք իրենց էին պատկանում կամ որոնց օգտագործման թույլտվություն ունեին, և ամբողջ շղթան փորձարկել են միայն ԱՄՆ հաշիվների և մեքենաների հետ։ Էլեկտրոնային փոստի հասցեի և գաղտնաբառի փոփոխումը սեփականատիրոջը դուրս չհանեց հավելվածից, և հետազոտողները կարող էին հաշվի ծանուցումներն ուղղել իրենց սեփական հեռախոսին։ Փորձարկումից հետո նրանք վերականգնեցին իրական էլեկտրոնային փոստի հասցեն։ Ոչ մի հրապարակում չի նշում, թե արդյոք որևէ ուրիշը գտել կամ օգտագործել է այդ ուղին նախքան դրա փակվելը։

Առանձին ուղի Ավստրալիայում

Shubham Shah-ը հրապարակեց երկրորդ հարձակումը Ավստրալիայի համակարգերի վրա, որոնք գտնվում էին նույն բրենդների հետևում։ Այնտեղ մուտքի ճանապարհը տարբեր էր. ինքնության սերվերի ադմինիստրատորի հավատարմագրերը թողնված էին հավելվածի կոդում՝ նախատեսված թեստային կարգավորման համար։ Նա ամբողջ Ավստրալիայի շղթան ներկայացրեց առանձին հրապարակման մեջ։ Երկու հարձակումները միասին վերցնելով՝ հետազոտողները ասացին, որ կարող էին ուղարկել բացման և շարժիչը գործարկելու հրամաններ բրենդների մեքենաներին Ավստրալիայում, ԱՄՆ-ում և Կանադայում։ Այդ երկրորդ հրապարակումը չի նշում, թե երբ են շտկվել Ավստրալիայի համակարգերը։

Ինչ պետք է ստուգեն ինքնության թիմերը

Բրենդների սխալը կապված էր ForgeRock-ի գործարկման ձևի հետ, ոչ թե արտադրանքի նոր սխալի հետ, ուստի չկա CVE և չկա հետևելու համար մատակարարի խորհրդատվություն։ Կոնսոլը և դրա լռելյայն գաղտնաբառը տարիներ շարունակ փաստաթղթավորված են եղել, և արտադրողի արտադրական միջավայրի ամրապնդման ուղեցույցն արդեն հանձնարարում է օպերատորներին հեռացնել կոնսոլը կամ փոխել դրա գաղտնաբառը նախքան գործարկումը։ Նույն ինքնության ծրագրակազմը գործարկող թիմերի համար, որն այժմ վաճառվում է որպես PingIDM, կարևոր են երկու ստուգում. փնտրել Apache Felix կոնսոլը /system/console հասցեում և հեռացնել այն կամ փոխել դրա լռելյայն գաղտնաբառը, ինչպես նաև հույս չդնել եզրային կամ WAF ուղու կանոնների վրա՝ ադմինիստրատորի էջը թաքցնելու համար։ Երկու հետազոտողներն ունեն այս տեսակի աշխատանքի երկար փորձ։ Նրանք ցույց են տվել Honda, Kia և Subaru մեքենաներին հեռակա հասանելիություն, ի թիվս այլոց, իսկ 2023 թվականի 16 բրենդ ընդգրկող ավելի լայն ուսումնասիրությունը հայտնաբերել է վեբի նույն տեսակի թույլ կողմը ոլորտի մեծ մասում։

Աղբյուրներ: The Hacker News