İki otomobil markasında hesap ve araç erişimi açığı

Güvenlik araştırmacıları Sam Curry ve Shubham Shah, isimleri açıklanmayan iki otomobil üreticisinin sistemlerindeki açıkları kullanarak müşteri hesaplarına erişti ve araçları uzaktan kontrol edebildi. Araştırmanın ayrıntıları 7 Kasım’da yayımlandı.

Araştırmacılar, müşteri kayıtlarının tutulduğu sistemlerde Apache Felix adlı yönetim konsolunu buldu. Sunuculara hem kullanıcı adı hem de şifre olarak “admin” kullanılarak giriş yapılabiliyordu.

Her iki üretici de mobil uygulamalarındaki kullanıcı girişlerinde ForgeRock adlı kimlik yönetimi platformunu kullanıyordu. Araştırmacılar, internetten doğrudan erişimi engelleyen güvenlik duvarını aşarak yönetim konsoluna ulaştı ve sunucuda kendi kodlarını çalıştırıp müşteri kayıtlarının yönetildiği sisteme erişti.

Bu erişimle müşteri e-posta adreslerini ve şifrelerini değiştirme yetkisi elde edildi. Araştırmacılar bir test hesabının e-posta adresini kendi kontrol ettikleri bir adresle değiştirdi, yeni şifre belirledi ve uygulama girişinde gönderilen altı haneli doğrulama kodunu aldı.

Hesap üzerinden aracın şasi numarası, modeli ve abonelik bilgileri görülebildi. Araştırmacılar test aracının kapılarını uzaktan açıp motorunu çalıştırdı; ardından motoru durdurup kapıları yeniden kilitledi ve araçların konumlarını takip edebildi.

E-posta ve şifre değişikliği, araç sahibinin uygulamadaki mevcut oturumunu sonlandırmıyordu. Bu nedenle kullanıcı uygulamayı kullanmayı sürdürebiliyor ve hesabına başka birinin eriştiğini hemen fark etmeyebiliyordu.

Araştırmacılar saldırı zincirinin tamamını ABD’deki hesaplar ve araçlarda test etti. Shah, aynı markaların Avustralya’daki sistemlerinde mobil uygulama kodlarına gömülü yönetici giriş bilgileriyle erişilebilen ayrı bir açık buldu; araştırma sonuçlarına göre ABD, Kanada ve Avustralya’daki araçlara kilit açma ve motor çalıştırma komutları gönderilebiliyordu.

Şirketler, araştırmacıların bildiriminden yaklaşık iki saat sonra sorunları giderip açıkta kalan giriş bilgilerini değiştirdi. Açıklar üreticilerin sunucularındaki güvenlik yapılandırmasından kaynaklandığı için kullanıcıların telefonlarına veya araçlarına güncelleme yüklemesi gerekmiyor.