სერვერის ნაგულისხმევი „admin:admin“ პაროლი დაეხმარა მკვლევრებს ორი ავტომწარმოებლის გატეხაში

ორმა უსაფრთხოების მკვლევარმა დაადგინა, რომ ორი ავტობრენდის მობილური აპების მიღმა მდგარი შესვლის სისტემების ხელში ჩაგდება ForgeRock-ის იდენტობის სერვერებზე ნაგულისხმევი ადმინის პაროლით შეეძლოთ. წვდომა ნებისმიერ მომხმარებლის ანგარიშამდე აღწევდა, აშშ-ში კი საკუთარ და მფლობელების თანხმობით აღებულ მანქანებზე ტესტებში კარების გაღება და ძრავის აქოქვა შეძლეს. ორივე სისტემა მკვლევრების მიერ პრობლემის შესახებ შეტყობინებიდან დაახლოებით ორ საათში გამოსწორდა.

როგორ გახსნა ნაგულისხმევმა პაროლმა კონსოლი

ორივე ბრენდი მომხმარებლებს ForgeRock-ით შეჰყავდა; ეს იდენტობის პლატფორმა ახლა Ping Identity-ის ნაწილია. ის ორ ნაწილად მუშაობს: შესვლის და OpenIDM-ის, რომელიც მომხმარებლების ჩანაწერებს ინახავს. OpenIDM-ს აქვს ჩაშენებული ადმინის კონსოლი, რომელიც Apache Felix-ზე მუშაობს. ამ სერვერებზე კონსოლი დარჩა და კვლავ იყენებდა დოკუმენტირებულ ნაგულისხმევ მონაცემებს: admin როგორც მომხმარებლის სახელი, ისე პაროლი. მიუხედავად ღია ინტერნეტიდან დაბლოკვისა, საიტის დამცავი გარე ფენა და მის უკან მდგარი Java პროგრამა ერთსა და იმავე ვებმისამართს განსხვავებულად კითხულობდნენ. კოდირებული დახრილი ხაზებითა და დამატებითი სიმბოლოებით მკვლევრებმა მოახერხეს, რომ გარე ფენა მოთხოვნას უვნებელ სტატიკურ ფაილად აღიქვამდა, სერვერი კი კონსოლის გზად თვლიდა. კონსოლში ჩაშენებული დამგეგმავი პატარა სკრიპტებს უშვებდა, რომლებიც იდენტობის სერვერზე მკვლევრების კოდს ასრულებდნენ და მკვლევრებს ორივე ბრენდის მომხმარებლების ჩანაწერების შემცველ მანქანაზე ბრძანების სტრიქონს აძლევდნენ.

ანგარიშზე წვდომიდან ავტომობილის ბრძანებებამდე

მკვლევრებმა სამიზნე ანგარიშის ელფოსტა და პაროლი შეცვალეს, ჩვეულებრივი აპით ამ მომხმარებლად შევიდნენ და იგივე წვდომის ტოკენები მიიღეს, რომლებსაც ნამდვილი აპი იყენებს. ანგარიშის საკუთარი ავტომობილის ბრძანებებით სატესტო მანქანის კარები გახსნეს და ძრავა აქოქეს, როცა მფლობელი გვერდით იდგა, შემდეგ ძრავა გააჩერეს და მანქანა ისევ ჩაკეტეს. მათ თქვეს, რომ დაზარალებულ სერვერებზე ნებისმიერი მომხმარებლის ანგარიშისთვის სესიის გახსნა შეეძლოთ, მაგრამ ავტომობილის ბრძანებებს მხოლოდ საკუთარ ან ნებადართულ მანქანებზე აწარმოებდნენ, სრული ჯაჭვი კი მხოლოდ აშშ-ის ანგარიშებითა და ავტომობილებით გამოსცადეს. ელფოსტისა და პაროლის შეცვლამ მფლობელი აპიდან არ გამოიყვანა, მკვლევრებს კი ანგარიშის შეტყობინებები საკუთარ ტელეფონზე გადაემისამართებინათ. ტესტის შემდეგ ნამდვილი ელფოსტა დააბრუნეს. არც ერთი პუბლიკაცია არ ამბობს, იპოვა ან გამოიყენა თუ არა ეს გზა სხვამ, სანამ ის დაიხურებოდა.

ცალკე გზა ავსტრალიაში

Shubham Shah-მა იმავე ბრენდების მიღმა მდგარ ავსტრალიის სისტემებზე მეორე თავდასხმა გამოაქვეყნა. იქ შესვლის გზა სხვა იყო: იდენტობის სერვერის ადმინის მონაცემები აპის კოდში იყო დარჩენილი, სატესტო გარემოსთვის განკუთვნილი. სრული ავსტრალიის ჯაჭვი მან ცალკე პოსტში აღწერა. ორივე თავდასხმის ერთად გამოყენებით მკვლევრებმა განაცხადეს, რომ ბრენდების ავტომობილებზე ავსტრალიაში, აშშ-ში და კანადაში კარების გაღებისა და ძრავის აქოქვის ბრძანებების გაგზავნა შეეძლოთ. მეორე პოსტი არ მიუთითებს თარიღს, როდის გამოსწორდა ავსტრალიის სისტემები.

რა უნდა შეამოწმონ იდენტობის გუნდებმა

ბრენდების შეცდომა ForgeRock-ის გამართვაში იყო და არა პროდუქტის ახალ ხარვეზში, ამიტომ არც CVE არსებობს და არც მწარმოებლის გაფრთხილება, რომელსაც უნდა მივყვეთ. კონსოლი და მისი ნაგულისხმევი პაროლი წლებია დოკუმენტირებულია, მწარმოებლის პროდუქციული გამაგრების გიდი კი ოპერატორებს კონსოლის წაშლას ან პაროლის შეცვლას გაშვებამდე ურჩევს. იმ გუნდებისთვის, რომლებიც იმავე იდენტობის პროგრამას იყენებენ, რომელიც ახლა PingIDM-ის სახელით იყიდება, ორი შემოწმებაა მნიშვნელოვანი: მოძებნეთ Apache Felix-ის კონსოლი მისამართზე /system/console და წაშალეთ ან შეცვალეთ მისი ნაგულისხმევი პაროლი, და ნუ დაეყრდნობით edge-ის ან WAF-ის ბილიკის წესებს ადმინის გვერდის დასამალად. ორ მკვლევარს ამ ტიპის საქმიანობის ხანგრძლივი გამოცდილება აქვს. მათ, სხვათა შორის, აჩვენეს დისტანციური წვდომა Honda-ს, Kia-სა და Subaru-ს ავტომობილებზე, ხოლო 2023 წელს 16 ბრენდის უფრო ფართო კვლევამ ინდუსტრიის დიდ ნაწილში იგივე ტიპის ვებ-სისუსტე აღმოაჩინა.

წყაროები: The Hacker News