Пароль по умолчанию помог захватить сервисы двух автомобильных брендов
3 мин
46
Исследователи кибербезопасности получили полный контроль над системами входа в мобильные приложения двух автомобильных брендов (их названия не раскрываются). Ошибки настройки позволяли захватить учётную запись любого клиента. Через аккаунт владельца подключённого автомобиля удалось разблокировать двери и запустить двигатель.
Приложения использовали платформу управления учётными записями ForgeRock. Сейчас она входит в состав IAM-сервиса Ping Identity. На серверах исследователи нашли консоль администратора со стандартными логином и паролем `admin:admin`. Они вошли в консоль и выполнили код на сервере.
Руководство ForgeRock по безопасной настройке требует удалить консоль или защитить её перед вводом системы в эксплуатацию. На проверенных серверах её оставили включённой, а стандартные учётные данные не изменили. При этом прямой доступ к консоли из интернета был закрыт.
Ограничение удалось обойти из-за различий в обработке URL. Защитный узел перед сервером и серверное ПО на Java по-разному реагировали на один и тот же адрес. Специалисты добавили в путь закодированные символы косой черты и другие символы. Защитный узел принял запрос за обращение к статическому файлу и пропустил его. Сервер обработал тот же запрос как обращение к консоли администратора. После этого исследователи вошли со стандартным паролем.
Через встроенный планировщик в консоли исследователи запустили сценарии и добились выполнения произвольного кода. Так они получили доступ к командной оболочке сервера с клиентскими данными. Внешние запросы к ним блокировал тот же защитный узел. Однако выполнение кода позволило обратиться к ним изнутри сервера.
Исследователи изменили адрес электронной почты и пароль выбранной учётной записи. Затем вошли в неё через штатное приложение и получили токены доступа. Эти токены позволяли отправлять команды автомобилю от имени владельца, который находился рядом. После проверки двигатель заглушили, а двери снова заблокировали.
Команды автомобилям участники эксперимента проверяли только на собственных машинах или с разрешения владельцев. Однако они считают, что способ позволял войти в любую клиентскую учётную запись на затронутых серверах. Полную цепочку атаки протестировали на аккаунтах и автомобилях в США.
Отдельно эксперты описали атаку на австралийские системы тех же брендов. Доступ удалось получить через административные учётные данные сервера управления аккаунтами. Их оставили в коде приложения для работы с тестовой средой. В этом случае захват аккаунта мог остаться незаметным для владельца. Смена электронной почты и пароля не завершала его сеанс в приложении. Исследователи также могли перенаправить уведомления аккаунта на собственный телефон, тогда владелец не получал их на своём устройстве.
