7
На серверах авторизации оставили стандартный пароль
На серверах авторизации специалисты по безопасности Шубхам Шах и Сэм Карри выявили уязвимость. Мобильные приложения двух автомобильных марок использовали платформу управления учетными записями ForgeRock, которая в настоящее время принадлежит Ping Identity. На ее серверах осталась административная консоль OpenIDM с заводскими учетными данными: логином admin и таким же паролем. Производитель платформы давно советует отключать эту консоль или изменять пароль перед тем, как система будет запущена в эксплуатацию.
Консоль не была доступна напрямую из интернета, но исследователи смогли обойти защиту, используя специально сформированный URL. Пограничный фильтр воспринимал запрос как обращение к обычному статическому файлу, в то время как Java-сервер интерпретировал его как путь к административной консоли. Получив доступ, эксперты запустили собственный код на сервере и получили доступ к базе данных клиентских учетных записей.
После этого они изменили адрес электронной почты и пароль тестовой учетной записи, вошли в приложение от имени ее владельца и получили токены авторизации, используемые для управления автомобилем. На автомобиле, принадлежащем одному из исследователей, они протестировали всю цепочку: дистанционно открыли двери и запустили двигатель, а затем снова заглушили мотор и заперли машину. При этом исследователи утверждают, что могли получить доступ к учетной записи любого клиента на затронутых серверах.
В Австралии Шах обнаружил отдельный способ вторжения в системы тех же брендов: административные учетные данные были зашиты непосредственно в код мобильного приложения. В совокупности две уязвимости позволяли отправлять команды автомобилям в США, Австралии и Канаде. Американские системы исправили проблему примерно через 2 часа после сообщения об атаке; дата устранения австралийской проблемы не указана. Это были ошибки настройки серверов, а не уязвимость самой ForgeRock, поэтому отдельного идентификатора CVE для них нет. Исследователи также отметили, что владелец мог и не заметить захват аккаунта: его приложение продолжало функционировать, а уведомления можно было перенаправлять на телефон злоумышленника.
Источник