Güvenlik araştırmacıları Sam Curry ve Shubham Shah, iki otomobil üreticisinin sistemlerinde buldukları açıklar sayesinde müşteri hesaplarına erişip araçları uzaktan kontrol edebildi. Sunucularda hem kullanıcı adının hem de şifrenin “admin” olarak bırakıldığı ortaya çıktı.
Dikkat çeken araştırmanın ayrıntıları 7 Kasım’da yayımlandı. Şirketlerin talebi üzerine iki markanın adı açıklanmadı. Araştırmacılar, üreticilere yapılan bildirimden yaklaşık iki saat sonra her iki şirketin de sorunları giderdiğini ve açıkta kalan giriş bilgilerini değiştirdiğini belirtti.
VARSAYILAN ŞİFREYLE YÖNETİM SİSTEMİNE ULAŞTILAR
Her iki üretici de mobil uygulamalarındaki kullanıcı girişleri için ForgeRock adlı kimlik yönetimi platformunu kullanıyordu. Araştırmacılar, müşteri kayıtlarının tutulduğu altyapıyı incelerken Apache Felix adlı yönetim konsolunu keşfetti.
İnternetten doğrudan erişimi engelleyen güvenlik duvarını aşan araştırmacılar, konsola varsayılan giriş bilgileriyle girebildi. Sunucuda kendi kodlarını çalıştırarak müşteri kayıtlarının yönetildiği sisteme ulaştılar. Böylece müşterilerin e-posta adreslerini ve şifrelerini değiştirebilecek yetki elde ettiler.
TEST ARACININ KAPILARINI AÇIP MOTORUNU ÇALIŞTIRDILAR
Açığın sonuçlarını göstermek için bir test hesabının e-posta adresi araştırmacıların kontrolündeki bir adresle değiştirildi ve yeni şifre belirlendi. Mobil uygulamaya giriş sırasında gönderilen altı haneli doğrulama kodu da araştırmacılara ulaştı.
Hesap üzerinden aracın şasi numarası, modeli ve abonelik bilgileri görüntülenebildi. Araştırmacılar, test otomobilinin kapılarını uzaktan açıp motorunu çalıştırdı; ardından motoru durdurarak kapıları yeniden kilitledi. Araçların konumlarını takip etmek de mümkün oldu.
E-posta adresi ve şifre değiştirildiğinde araç sahibinin mevcut uygulama oturumu sonlandırılmıyordu. Bu nedenle gerçek kullanıcı uygulamayı kullanmaya devam edebiliyor, hesabına başka birinin eriştiğini hemen fark edemeyebiliyordu.
ÜÇ ÜLKEDEKİ ARAÇLARA KOMUT GÖNDERİLEBİLİYORDU
Araştırmacılar, saldırı zincirinin tamamını ABD’deki hesaplar ve araçlar üzerinde test ettiklerini belirtti. Shubham Shah, aynı markaların Avustralya’daki sistemlerinde de ayrı bir açık buldu. Burada mobil uygulamanın kodlarına gömülü yönetici giriş bilgileriyle sisteme erişilebiliyordu.
İki araştırmanın sonuçlarına göre ABD, Kanada ve Avustralya’daki araçlara uzaktan kilit açma ve motor çalıştırma komutları gönderilebiliyordu.
Açıklar üreticilerin sunucularındaki güvenlik yapılandırmasından kaynaklandığı için kullanıcıların telefonlarına ya da araçlarına güncelleme yüklemesi gerekmiyor.
Araştırmacılar daha önce Subaru’nun Starlink sisteminde de benzer bir sorun keşfetmişti. Araç sahiplerinin bazı kişisel bilgilerini bilen kişiler, bu açık üzerinden araçların kilidini açabiliyor, motorlarını çalıştırabiliyor ve bir yıllık konum geçmişine erişebiliyordu. Subaru, bildirimin ardından sorunu bir gün içinde kapatmıştı.
