Дослідники дистанційно розблокували та запустили підключені автомобілі у двох автовиробників

Двоє дослідників з безпеки, Шубхам Шах і Сем Каррі, виявили вразливості в серверних системах підключених автомобілів двох неназваних автовиробників на початку 2026 року, що дозволяли дистанційно розблоковувати двері та запускати двигун в інтернет-підключених транспортних засобах. Проблеми швидко виправили, але вони виявили слабкі практики безпеки, зокрема жорстко закодовані облікові дані та неправильно налаштований процес багатофакторної автентифікації. Дослідники також виявили, що вразливості могли розкривати місцезнаходження автомобіля, пробіг, рівень палива, запас ходу, стан дверей і особисті дані клієнтів.

Зачеплені автомобілі та масштаб

Білохакерський дует не розкрив назви постраждалих автовиробників. Шах і Каррі отримали доступ до автомобілів Автовиробника 1 у Сполучених Штатах, тоді як автомобілі Автовиробника 2 були схильні до незапланованого розблокування в Австралії, Сполучених Штатах і Канаді. Лише за візуальним оглядом друга компанія може бути Toyota, оскільки демонстраційне відео злому, ймовірно, показує позашляховик RAV4. Одна з їхніх статей охоплює питання, пов'язані з ForgeRock, для обох компаній, а стаття Шаха обговорює подробиці щодо Автовиробника 2 та його австралійської інфраструктури підключених автомобілів.

Обидва постраждалі автовиробники використовують послуги автентифікації та авторизації ForgeRock. За словами дослідників, за одним невеликим винятком вразливості виникли через погані реалізації та практики безпеки, а не через сам ForgeRock.

Як виявили недоліки

Шах почав з декомпіляції Android-додатка Автовиробника 2 і знайшов мережеві виклики до телематичного піддомену. Він швидко знайшов розташування admintool, що містило сторінку TEST HARNESS з запитом на вхід. Перша проблема полягала в тому, що ця кінцева точка була доступна з усього інтернету.

Другою проблемою був пакет JavaScript, який мав бути очищений від непотрібного коду, але натомість містив код для всієї функціональності серверної частини. Цей пакет також містив жорстко закодовані ключі API, яких було достатньо, щоб Шах отримав дані клієнтів. Після ланцюжка запитів і з'єднання номерного знака з VIN за допомогою загальнодоступної інформації дослідники з'єднали цей VIN із клієнтом і знайшли електронну пошту клієнта.

Команда також виявила, що пакет JavaScript містив жорстко закодовані облікові дані адміністратора, ймовірно призначені для тестового середовища. Ці облікові дані допомогли розкрити хеші паролів користувачів, але хеші були SHA-512, тому їх злам був нездійсненним. Дослідники також знайшли pinService, доступний через брандмауер веб-додатків, і функцію getUser, яка могла отримувати інформацію про користувачів за електронною поштою, телефоном та ідентифікатором.

Захоплення акаунтів і команди для автомобілів

Після кількох тижнів вивчення використання ForgeRock дослідники дійшли висновку, що найпростішим шляхом було створити маркер доступу для будь-якого користувача. Вони використали GPT-5.6 Sol Ultra для перебору назв шляхів і знайшли незахищений шлях, який зрештою дозволив їм перезаписати пароль будь-якого користувача, частково забезпечивши захоплення акаунта. Багатофакторна автентифікація залишалася, але австралійське середовище дозволяло користувачам повністю пропускати MFA.

Переносячи маркери між кінцевими точками та мобільним додатком, дослідники могли створювати маркери доступу та повністю видавати себе за будь-який обліковий запис користувача. Потім вони надіслали API-запит на команду розблокування дверей, і тестовий автомобіль одразу відкрився. Вразливості також розкривали місцезнаходження автомобіля, пробіг, паливо, запас ходу, стан дверей і особисті дані клієнтів.

Джерела: Tom's Hardware