Varsayılan 'admin:admin' Sunucu Parolası Araştırmacıların İki Otomobil Üreticisini Ele Geçirmesine Yardım Etti

İki güvenlik araştırmacısı, iki otomobil markasının mobil uygulamalarının arkasındaki giriş sistemlerini, ForgeRock kimlik sunucularındaki varsayılan bir yönetici parolasını kullanarak ele geçirebildi. Erişim herhangi bir müşteri hesabına ulaşabiliyordu ve Amerika Birleşik Devletleri'nde kendi araçlarında ve rızası alınmış sahiplerin araçlarında yapılan testlerde kapıları açıp motorları çalıştırmalarına izin verdi. Her iki sistem de sorun bildirildikten yaklaşık iki saat sonra düzeltildi.

Varsayılan parola yönetim konsolunu nasıl açtı

Her iki marka da müşterileri ForgeRock üzerinden oturum açtırıyordu; ForgeRock şu an Ping Identity'nin parçası olan bir kimlik platformudur. Bu platform iki parçada çalışır: biri oturum açma, diğeri müşteri kayıtlarını tutan OpenIDM. OpenIDM, Apache Felix tarafından desteklenen yerleşik bir yönetici konsolu içerir. Bu sunucularda konsol yerinde kalmış ve belgelenmiş varsayılanı kullanmaya devam etmişti; kullanıcı adı ve parola olarak admin kullanılıyordu. İnternetten açık erişime kapalı olsa da siteyi koruyan edge ile arkasındaki Java yazılımı aynı web adresini farklı yorumluyordu. Araştırmacılar kodlanmış eğik çizgiler ve ek karakterler ekleyerek edge'in isteği zararsız bir statik dosya olarak ele almasını, sunucunun ise onu konsolun yolu olarak ele almasını sağladı. Konsolun içinde yerleşik bir zamanlayıcı, kimlik sunucusunda kendi kodlarını çalıştıran küçük betikler çalıştırıyordu ve bu da onlara her iki markanın girişleri için müşteri kayıtlarını tutan makinede bir komut istemi verdi.

Hesap erişiminden araç komutlarına

Araştırmacılar hedef hesabın e-posta adresini ve parolasını değiştirdi, normal uygulama üzerinden o müşteri olarak oturum açtı ve gerçek uygulamanın kullandığı aynı erişim belirteçlerini aldı. Hesabın kendi araç komutlarını kullanarak, sahibi aracın yanında dururken test aracının kapılarını açıp motorunu çalıştırdı, ardından motoru durdurup yeniden kilitledi. Etkilenen sunuculardaki herhangi bir müşteri hesabı için oturum açabileceklerini söylediler, ancak araç komutlarını yalnızca sahip oldukları veya kullanmalarına izin verilen araçlarda çalıştırdılar ve tam zinciri yalnızca ABD hesapları ve araçlarıyla test ettiler. E-posta ve parolanın değiştirilmesi sahibi uygulamadan çıkarmadı ve araştırmacılar hesabın uyarılarını kendi telefonlarına yönlendirebildi. Testten sonra gerçek e-posta adresini geri koydular. Hiçbir yazıda bu yolun kapatılmadan önce başkası tarafından bulunup kullanılıp kullanılmadığı söylenmiyor.

Avustralya'da ayrı bir yol

Shubham Shah, aynı markaların Avustralya sistemlerine ikinci bir saldırıyı yayımladı. Orada giriş yolu farklıydı: kimlik sunucusunun yönetici kimlik bilgileri, bir test kurulumu için tasarlanmış şekilde uygulamanın kodunda bırakılmıştı. Avustralya zincirinin tamamını ayrı bir yazıda anlattı. Her iki saldırı birlikte düşünüldüğünde araştırmacılar, markaların Avustralya, Amerika Birleşik Devletleri ve Kanada'daki araçlarına kilit açma ve motor çalıştırma komutları gönderebildiklerini söyledi. İkinci yazı, Avustralya sistemlerinin ne zaman düzeltildiğine dair bir tarih vermiyor.

Kimlik ekiplerinin kontrol etmesi gerekenler

Markaların hatası ForgeRock'u nasıl çalıştırdıklarındaydı, ürünün yeni bir hatası değildi; bu nedenle izlenecek bir CVE veya satıcı duyurusu yok. Konsol ve varsayılan parolası yıllardır belgelenmiş durumda ve üreticinin üretim güçlendirme kılavuzu, canlıya geçmeden önce operatörlerden konsolu kaldırmalarını veya parolasını değiştirmelerini zaten istiyor. Aynı kimlik yazılımını, artık PingIDM olarak satılan yazılımı çalıştıran ekipler için iki kontrol önemli: /system/console adresinde Apache Felix konsolunu aramak ve onu kaldırmak veya varsayılan parolasını değiştirmek, ve bir yönetici sayfasını gizlemek için edge veya WAF yol kurallarına güvenmemek. İki araştırmacının bu tür çalışmalarda uzun bir geçmişi var. Honda, Kia ve Subaru dahil araçlara uzaktan erişim gösterdiler ve 2023'teki 16 markalı daha geniş bir çalışma, endüstrinin büyük bölümünde aynı tür web zayıflığını buldu.

Kaynaklar: The Hacker News