მკვლევარებმა ორი ავტომწარმოებლის დაკავშირებული მანქანები დისტანციურად გახსნეს და ჩართეს

უსაფრთხოების ორმა მკვლევარმა, შუბჰამ შაჰმა და სემ კარიმ, 2026 წლის დასაწყისში ორი დაუსახელებელი ავტომწარმოებლის დაკავშირებული მანქანების ბექენდ სისტემებში დაუცველობები აღმოაჩინეს, რაც ინტერნეტთან დაკავშირებული ავტომობილების კარების დისტანციურ გახსნასა და ძრავის ჩართვას შესაძლებელს ხდიდა. ხარვეზები სწრაფად გამოსწორდა, თუმცა მათ სუსტი უსაფრთხოების პრაქტიკები გამოავლინეს, მათ შორის კოდში ჩაშენებული საიდენტიფიკაციო მონაცემები და არასწორად კონფიგურირებული მრავალფაქტორიანი აუთენტიფიკაციის პროცესი. მკვლევარებმა ასევე დაადგინეს, რომ ხარვეზების მეშვეობით შესაძლებელი იყო ავტომობილის მდებარეობის, გარბენის, საწვავის, სავალი მანძილის, კარების მდგომარეობისა და მომხმარებლის პირადი ინფორმაციის გამჟღავნება.

დაზარალებული ავტომობილები და ფარგლები

ეთიკურმა ჰაკერებმა დაზარალებული ავტომწარმოებლების სახელები არ გაასაჯაროვეს. შაჰმა და კარიმ Automaker 1-ის ავტომობილებზე წვდომა შეერთებულ შტატებში მოიპოვეს, ხოლო Automaker 2-ის ავტომობილები დაუგეგმავი ჩამკეტის გახსნის რისკის ქვეშ იყო ავსტრალიაში, შეერთებულ შტატებსა და კანადაში. მხოლოდ ვიზუალური დათვალიერებით შეიძლება ვივარაუდოთ, რომ მეორე კომპანია Toyota-ა, რადგან დემონსტრაციის ვიდეოში, როგორც ჩანს, RAV4 SUV ჩანს. მათი ერთ-ერთი პუბლიკაცია ორივე კომპანიის ForgeRock-თან დაკავშირებულ საკითხებს მოიცავს, ხოლო შაჰის სტატია Automaker 2-ისა და მისი ავსტრალიური დაკავშირებული მანქანების ინფრასტრუქტურის სპეციფიკას განიხილავს.

ორივე დაზარალებული ავტომწარმოებელი ForgeRock-ის აუთენტიფიკაციისა და ავტორიზაციის სერვისებს იყენებდა. მკვლევარების თქმით, ერთი მცირე გამონაკლისის გარდა, დაუცველობები ცუდი იმპლემენტაციებითა და უსაფრთხოების პრაქტიკებით იყო გამოწვეული და არა თავად ForgeRock-ით.

როგორ იპოვეს ხარვეზები

შაჰმა დაიწყო Automaker 2-ის Android აპლიკაციის დეკომპილირებით და ტელემატიკის ქვედომენზე მიმართული ქსელური მოთხოვნები იპოვა. მალევე აღმოაჩინა admintool-ის მისამართი, სადაც TEST HARNESS გვერდი შესვლის მოთხოვნით იყო. პირველი პრობლემა ის იყო, რომ ეს ენდპოინტი ღიად იყო ხელმისაწვდომი მთელი ინტერნეტიდან.

მეორე პრობლემა იყო JavaScript-ის ბანდლი, რომელიც უნდა გაწმენდილიყო არასაჭირო კოდისგან, მაგრამ სამაგიეროდ ბექენდის მთელი ფუნქციონალის კოდს შეიცავდა. ამ ბანდლში ასევე იყო კოდში ჩაშენებული API გასაღებები, რომლებიც შაჰს საშუალებას აძლევდა, მომხმარებლის ინფორმაცია ამოეღო. მოთხოვნების ჯაჭვის შედგენისა და საჯაროდ ხელმისაწვდომი ინფორმაციის გამოყენებით სანომრე ნიშნის VIN-თან დაკავშირების შემდეგ მკვლევარებმა ეს VIN მომხმარებელს დაუკავშირეს და მისი ელფოსტა იპოვეს.

გუნდმა ასევე აღმოაჩინა, რომ JavaScript-ის ბანდლი შეიცავდა კოდში ჩაშენებულ ადმინისტრატორის საიდენტიფიკაციო მონაცემებს, რომლებიც სავარაუდოდ staging გარემოსთვის იყო განკუთვნილი. ამ მონაცემებით გამოვლინდა მომხმარებლების პაროლების ჰეშები, თუმცა ჰეშები SHA-512 იყო, ამიტომ მათი გატეხვა პრაქტიკულად შეუძლებელი იყო. მკვლევარებმა ასევე იპოვეს pinService, რომელიც Web Application Firewall-ის მეშვეობით იყო ხელმისაწვდომი, და getUser ფუნქცია, რომელსაც ელფოსტის, ტელეფონისა და ID-ის გამოყენებით მომხმარებლის ინფორმაციის მიღება შეეძლო.

ანგარიშის ხელში ჩაგდება და ავტომობილის ბრძანებები

მას შემდეგ, რაც ForgeRock-ის გამოყენების შესწავლას ორიოდე კვირა დახარჯეს, მკვლევარებმა დაასკვნეს, რომ უმარტივესი გზა ნებისმიერი მომხმარებლისთვის access token-ის შექმნა იყო. მათ GPT-5.6 Sol Ultra გამოიყენეს ბილიკების სახელების brute-force-ით გასარკვევად და იპოვეს დაუცველი ბილიკი, რომელმაც საბოლოოდ საშუალება მისცა ნებისმიერი მომხმარებლის პაროლი გადაეწერათ, რაც ნაწილობრივ შესაძლებელს ხდიდა ანგარიშის ხელში ჩაგდებას. მრავალფაქტორიანი აუთენტიფიკაცია კვლავ არსებობდა, თუმცა ავსტრალიური გარემო მომხმარებლებს MFA-ს სრულად გამოტოვების საშუალებას აძლევდა.

ენდპოინტებსა და მობილურ აპლიკაციას შორის token-ების მონაცვლეობით მკვლევარებმა შეძლეს access token-ების შექმნა და ნებისმიერი მომხმარებლის ანგარიშით სრულად სარგებლობა. შემდეგ მათ API მოთხოვნა გაგზავნეს კარის გახსნის ბრძანებაზე და სატესტო მანქანა მაშინვე გაიხსნა. დაუცველობებმა ასევე გაამჟღავნა ავტომობილის მდებარეობა, გარბენი, საწვავი, სავალი მანძილი, კარების მდგომარეობა და მომხმარებლების პირადი ინფორმაცია.

წყაროები: Tom's Hardware