İki Otomobil Üreticisinde Bağlantılı Araçlar Uzaktan Açıldı ve Çalıştırıldı

İki güvenlik araştırmacısı, Shubham Shah ve Sam Curry, 2026 yılının başlarında adı açıklanmayan iki otomobil üreticisinin bağlantılı araç arka uç sistemlerinde güvenlik açıkları buldu; bu açıklar internet bağlantılı araçlarda kapıları uzaktan açmaya ve motoru çalıştırmaya olanak tanıdı. Sorunlar hızla yamalandı, ancak zayıf güvenlik uygulamalarını ortaya çıkardı; bunlar arasında sabit kodlu kimlik bilgileri ve yanlış yapılandırılmış çok faktörlü kimlik doğrulama akışı vardı. Araştırmacılar ayrıca açıkların araç konumu, kilometre, yakıt, menzil, kapı durumları ve müşteri kişisel bilgilerini ortaya çıkarabileceğini buldu.

Etkilenen araçlar ve kapsam

Beyaz şapkalı ikili, etkilenen otomobil üreticilerinin adlarını açıklamadı. Shah ve Curry, Üretici 1'in araçlarına Amerika Birleşik Devletleri'nde erişim sağladı; Üretici 2'nin araçları ise Avustralya, Amerika Birleşik Devletleri ve Kanada'da plansız kilit açılmasına açıktı. Yalnızca görsel incelemeye dayanarak ikinci firmanın Toyota olabileceği düşünülüyor, çünkü saldırı gösterim videosu bir RAV4 SUV modelini gösteriyor gibi görünüyor. Yazılardan biri her iki şirket için ForgeRock ile ilgili konuları ele alıyor; Shah'ın makalesi ise Üretici 2 ve onun Avustralya bağlantılı araç altyapısına ilişkin ayrıntıları tartışıyor.

Her iki etkilenen otomobil üreticisi de ForgeRock'ın kimlik doğrulama ve yetkilendirme hizmetlerini kullanıyor. Araştırmacılara göre, tek bir küçük istisna dışında güvenlik açıkları ForgeRock'ın kendisinden değil, kötü uygulamalardan ve güvenlik uygulamalarından kaynaklanıyordu.

Açıklar nasıl bulundu

Shah, Üretici 2'nin Android uygulamasını tersine mühendislikle inceleyerek ve bir telematik alt alan adına yapılan ağ çağrılarını bularak işe başladı. Hızla, giriş istemi içeren bir TEST HARNESS sayfası bulunan bir admintool konumu buldu. İlk sorun, bu uç noktanın internetten herkes tarafından erişilebilir olmasıydı.

İkinci sorun, gereksiz koddan arındırılması gereken ama bunun yerine arka ucun tüm işlevlerini içeren bir JavaScript paketiydi. Bu paket ayrıca sabit kodlu API anahtarlarını da içeriyordu; bu anahtarlar Shah'ın müşteri bilgilerini çekmesi için yeterliydi. İstekleri zincirleyip kamuya açık bilgileri kullanarak bir plakayı VIN ile eşleştirdikten sonra araştırmacılar o VIN'i bir müşteriyle ilişkilendirdi ve müşterinin e-postasını buldu.

Ekip ayrıca JavaScript paketinin, muhtemelen bir hazırlık ortamı için tasarlanmış sabit kodlu yönetici kimlik bilgilerini içerdiğini buldu. Bu kimlik bilgileri kullanıcıların parola hash'lerini ortaya çıkarmaya yardımcı oldu, ancak hash'ler SHA-512 olduğundan bunları kırmak mümkün değildi. Araştırmacılar ayrıca bir Web Application Firewall üzerinden erişilebilen bir pinService ve e-posta, telefon ve kimlik kullanarak kullanıcı bilgilerini alabilen bir getUser işlevi buldu.

Hesap ele geçirme ve araç komutları

ForgeRock'ın nasıl kullanıldığını birkaç hafta inceledikten sonra araştırmacılar en kolay yolun herhangi bir kullanıcı için bir erişim belirteci oluşturmak olduğuna karar verdi. Yol adlarını kaba kuvvetle bulmak için GPT-5.6 Sol Ultra'yı kullandılar ve sonunda herhangi bir kullanıcının parolasını üzerine yazmaya olanak tanıyan korumasız bir yol buldular; bu da hesap ele geçirmeyi kısmen mümkün kıldı. Çok faktörlü kimlik doğrulama devam ediyordu, ancak Avustralya ortamı kullanıcıların MFA'yı tamamen atlamasına izin veriyordu.

Uç noktalar ve mobil uygulama arasında belirteç aktarımıyla araştırmacılar erişim belirteçleri oluşturabildi ve herhangi bir kullanıcı hesabını tamamen taklit edebildi. Ardından kapı açma komutu için bir API isteği gönderdiler ve test aracı hemen açıldı. Güvenlik açıkları ayrıca araç konumu, kilometre, yakıt, menzil, kapı durumları ve müşterilerin kişisel bilgilerini de ortaya çıkardı.

Kaynaklar: Tom's Hardware