Исследователи безопасности Шубхам Шах и Сэм Карри обнаружили у двух неназванных автомобильных марок уязвимости в системах входа через мобильные приложения. Получив доступ к аккаунту клиента, они смогли разблокировать двери подключённого автомобиля и запустить двигатель. О результатах они сообщили «в конце прошлой недели»; точная дата публикации в описании не указана.
Американская цепочка атаки затрагивала ForgeRock, платформу управления учётными записями, которая теперь принадлежит Ping Identity. Одна часть системы отвечала за вход, а OpenIDM хранила данные клиентов. В OpenIDM работала административная консоль Apache Felix. Руководство ForgeRock по подготовке системы к эксплуатации предписывало удалить консоль или защитить её до запуска сервиса. На затронутых серверах она оставалась доступной с заводскими учётными данными: логином admin и паролем admin.
Консоль не была открыта для прямого доступа из интернета, но защита на границе сети и Java-приложение по-разному разбирали адрес запроса. Исследователи использовали закодированные косые черты и дополнительные символы: пограничная система принимала запрос за обращение к статическому файлу, тогда как сервер направлял его к административной консоли. Заводской пароль позволил войти в неё.
Через встроенный планировщик консоли Шах и Карри запустили небольшие скрипты и получили командную строку на сервере с клиентскими записями. Оттуда они обошли ограничение, которое закрывало данные вместе с консолью, изменили адрес электронной почты и пароль выбранной учётной записи, а затем вошли в приложение обычным способом. Так исследователи получили токены доступа, которыми пользовалось настоящее приложение.
С этими токенами они отправили команды тестовому автомобилю: открыли двери и запустили двигатель, пока владелец стоял рядом. Затем заглушили машину и снова заперли её. Исследователи утверждали, что могли открыть сессию для любой учётной записи на затронутых серверах. Подробности технической цепочки опубликованы в их техническом разборе.
Полную американскую атаку Шах и Карри проверили в феврале 2026 года, используя только собственные автомобили или машины, владельцы которых дали согласие. Они подчеркнули: «Полную цепочку мы проверили только на американских аккаунтах и автомобилях». Команды автомобилям отправляли лишь с разрешения владельцев. После сообщения о проблеме обе американские системы исправили примерно за два часа.
Для австралийских систем исследователь описал отдельный способ доступа в другой публикации. Там в коде приложения сохранили административные данные для входа на сервер идентификации, предназначенные для тестовой среды. Вместе американским и австралийским исследованием Шах и Карри охватили возможность отправлять команды разблокировки и запуска двигателя для автомобилей этих марок в Австралии, США и Канаде. В отдельном материале об Австралии не сказано, когда именно уязвимости там закрыли.
Владелец мог не заметить вмешательства. Смена адреса электронной почты и пароля не завершала его сессию в приложении, а исследователи могли перенаправить уведомления об аккаунте на собственный телефон. После проверки они вернули настоящий адрес электронной почты. В публикациях не установлено, обнаружил ли кто-либо уязвимости раньше и успел ли воспользоваться ими до исправления.
Консоль Apache Felix и пароль по умолчанию были описаны в документации задолго до инцидента; руководство ForgeRock прямо требовало убрать консоль или сменить пароль перед запуском системы. Командам, использующим ту же платформу, теперь продаваемую как PingIDM, стоит проверить адрес /system/console и удалить консоль либо изменить пароль. Одних правил межсетевого экрана или WAF недостаточно: если пограничная защита и сервер по-разному трактуют путь в запросе, административная страница может оказаться доступной.
Шах и Карри давно исследуют веб-системы мобильных приложений, а не сами автомобили. В прежних работах они показывали удалённый доступ к машинам Honda, Kia и Subaru. Уязвимость Subaru, о которой они сообщили, позволяла получить доступ к аккаунтам владельцев и автомобилям через сервис подключённых машин. В исследовании 2023 года по 16 автомобильным маркам они также обнаружили похожие слабости в веб-системах отрасли.
Изображение носит иллюстративный характер
Американская цепочка атаки затрагивала ForgeRock, платформу управления учётными записями, которая теперь принадлежит Ping Identity. Одна часть системы отвечала за вход, а OpenIDM хранила данные клиентов. В OpenIDM работала административная консоль Apache Felix. Руководство ForgeRock по подготовке системы к эксплуатации предписывало удалить консоль или защитить её до запуска сервиса. На затронутых серверах она оставалась доступной с заводскими учётными данными: логином admin и паролем admin.
Консоль не была открыта для прямого доступа из интернета, но защита на границе сети и Java-приложение по-разному разбирали адрес запроса. Исследователи использовали закодированные косые черты и дополнительные символы: пограничная система принимала запрос за обращение к статическому файлу, тогда как сервер направлял его к административной консоли. Заводской пароль позволил войти в неё.
Через встроенный планировщик консоли Шах и Карри запустили небольшие скрипты и получили командную строку на сервере с клиентскими записями. Оттуда они обошли ограничение, которое закрывало данные вместе с консолью, изменили адрес электронной почты и пароль выбранной учётной записи, а затем вошли в приложение обычным способом. Так исследователи получили токены доступа, которыми пользовалось настоящее приложение.
С этими токенами они отправили команды тестовому автомобилю: открыли двери и запустили двигатель, пока владелец стоял рядом. Затем заглушили машину и снова заперли её. Исследователи утверждали, что могли открыть сессию для любой учётной записи на затронутых серверах. Подробности технической цепочки опубликованы в их техническом разборе.
Полную американскую атаку Шах и Карри проверили в феврале 2026 года, используя только собственные автомобили или машины, владельцы которых дали согласие. Они подчеркнули: «Полную цепочку мы проверили только на американских аккаунтах и автомобилях». Команды автомобилям отправляли лишь с разрешения владельцев. После сообщения о проблеме обе американские системы исправили примерно за два часа.
Для австралийских систем исследователь описал отдельный способ доступа в другой публикации. Там в коде приложения сохранили административные данные для входа на сервер идентификации, предназначенные для тестовой среды. Вместе американским и австралийским исследованием Шах и Карри охватили возможность отправлять команды разблокировки и запуска двигателя для автомобилей этих марок в Австралии, США и Канаде. В отдельном материале об Австралии не сказано, когда именно уязвимости там закрыли.
Владелец мог не заметить вмешательства. Смена адреса электронной почты и пароля не завершала его сессию в приложении, а исследователи могли перенаправить уведомления об аккаунте на собственный телефон. После проверки они вернули настоящий адрес электронной почты. В публикациях не установлено, обнаружил ли кто-либо уязвимости раньше и успел ли воспользоваться ими до исправления.
Консоль Apache Felix и пароль по умолчанию были описаны в документации задолго до инцидента; руководство ForgeRock прямо требовало убрать консоль или сменить пароль перед запуском системы. Командам, использующим ту же платформу, теперь продаваемую как PingIDM, стоит проверить адрес /system/console и удалить консоль либо изменить пароль. Одних правил межсетевого экрана или WAF недостаточно: если пограничная защита и сервер по-разному трактуют путь в запросе, административная страница может оказаться доступной.
Шах и Карри давно исследуют веб-системы мобильных приложений, а не сами автомобили. В прежних работах они показывали удалённый доступ к машинам Honda, Kia и Subaru. Уязвимость Subaru, о которой они сообщили, позволяла получить доступ к аккаунтам владельцев и автомобилям через сервис подключённых машин. В исследовании 2023 года по 16 автомобильным маркам они также обнаружили похожие слабости в веб-системах отрасли.
