Producenci samochodów ukrywają nazwy. Powód nie wygląda najlepiej

Badacze bezpieczeństwa Sam Curry i Shubham Shah odkryli poważną lukę w systemach dwóch producentów samochodów. Podatność pozwalała przejmować konta użytkowników aplikacji mobilnych, a następnie zdalnie sterować funkcjami powiązanych pojazdów. Możliwe było otwieranie drzwi, uruchamianie silnika oraz sprawdzanie lokalizacji samochodu. Producenci usunęli podatność w ciągu zaledwie dwóch godzin od otrzymania zgłoszenia. 

Źródłem problemu były serwery ForgeRock OpenIDM wykorzystywane przez wspomnianych producentów do zarządzania tożsamością oraz uprawnieniami użytkowników. Badacze odkryli sposób na ominięcie Web Application Firewall, czyli zapory chroniącej aplikacje internetowe.

Jak ominięto zabezpieczenia

Wykorzystali odpowiednio przygotowane żądania API, a następnie mechanizm zaplanowanych zadań do wprowadzenia złośliwego kodu. Luka pozwalała na zmianę adresów e-mail oraz haseł powiązanych z kontami użytkowników.

Luka w zabezpieczeniach producentów samochodów pozwalała m.in. zdalnie odpalić pojazd, a także uzyskać dostęp do jego danych. Podatność została usunięta przez firmy.

Po ich przejęciu badacze uzyskiwali dostęp do samochodów połączonych z aplikacjami producentów. Nie była to więc podatność samego komputera pokładowego, lecz infrastruktury odpowiedzialnej za obsługę usług internetowych.

Samochód można było uruchomić bez fizycznego dostępu

Przejęte konto pozwalało wykonywać wiele operacji. Badacze mogli zdalnie zamykać i otwierać drzwi, uruchamiać oraz zatrzymywać silnik, a także odczytywać lokalizację samochodu. Dostępne były również dane telemetryczne i inne informacje dotyczące pojazdu.

Testy przeprowadzono na kontach oraz samochodach znajdujących się w Stanach Zjednoczonych. Badacze podkreślili, że obaj producenci korzystają z tej samej infrastruktury również w innych regionach świata. Shubham Shah opisał dodatkowo podobną, nieco prostszą metodę ataku, która dotyczyła samochodów w Australii.

 

Nazwy obu marek nie zostały ujawnione na ich prośbę. Curry wyjaśnił, że zazwyczaj nalega na podawanie nazw producentów, ale tym razem zdecydował się uszanować ich stanowisko, aby nie odciągać zespołów bezpieczeństwa od bieżącej pracy. Firmy zareagowały bardzo szybko i usunęły lukę w ciągu dwóch godzin.

Nie ujawniono nazw producentów ani liczby samochodów, które były podatne. Nie ma też informacji potwierdzających wykorzystanie luki przez przestępców.