Исследователи безопасности использовали уязвимости в приложениях Android для получения удаленного доступа к подключенным автомобилям двух крупных автопроизводителей, что позволило им запускать двигатели, мигать фарами и подавать звуковые сигналы.
Шубхам Шах, соучредитель Assetnote, и исследователь Сэм Карри совместно работали над эксплойтами ранее в этом году. Вмешиваясь в приложения автомобилей на Android, они разработали пути для отправки удаленных команд транспортным средствам в Австралии и США.
Пара опубликовала отдельные блоги, освещающие различные аспекты исследования; Шах отметил, что атака на США «потребовала гораздо больше усилий», поскольку автопроизводитель «уделил гораздо больше времени обеспечению безопасности сред OpenIDM в США, Канаде и Европе».
Обе цепочки эксплойтов были сосредоточены на слабостях платформы идентификации ForgeRock, которую использовали оба автопроизводителя. Исследователи, которые ранее выявляли уязвимости у таких компаний, как Hyundai, Kia, Subaru, и многие другие, сохранили анонимность автопроизводителей.
В австралийской версии приложения исследователи сначала нашли идентификационный номер транспортного средства (VIN) с помощью общедоступных сервисов проверки номерных знаков и использовали его в запросах к внутренним API, которые предоставляли личную информацию и адреса электронной почты владельцев.
Они также обнаружили зашитые в код учетные данные администратора для ForgeRock OpenIDM, предназначенные для staging-среды, но работавшие и в производственной. После обхода строгой фильтрации WAF путем использования уязвимостей path traversal им удалось вызвать внутренние API администратора и получить контроль над целевыми учетными записями, используя только их адреса электронной почты.
Это позволило им создавать токены аутентификации, которые они могли использовать для отправки произвольных команд затронутым автомобилям через мобильное приложение.
Отправка команд в американской версии также потребовала обхода фильтрации WAF с помощью path traversal, хотя и с более сложной техникой: использовалась уязвимость path confusion для доступа к консоли администрирования Apache Felix.
Исследователи использовали учетные данные по умолчанию производителя в Felix’s OSGi Web Console для получения привилегий администратора. Затем они использовали Felix configuration manager для планирования задачи, которая выполняла встроенный скрипт Groovy, предоставляя им доступ к командной оболочке серверов идентификации.
Затем исследователи выполнили запросы к локальным конечным точкам API администратора, что позволило им просматривать или изменять данные учетных записей пользователей. Оттуда они вошли в учетные записи владельцев автомобилей и получили возможность отправлять те же команды, что и в австралийской версии.
Согласно графику раскрытия информации Карри, он и Шах связались с затронутыми автопроизводителями «в начале 2026 года», и эксплойты были устранены в течение двух часов после получения отчета.
Хотя автопроизводители пожелали остаться анонимными, некоторым автолюбителям не потребовалось много времени, чтобы предположить, что частично размытый автомобиль на демонстрационном видео Шаха — это Toyota, ссылаясь на форму зеркала заднего вида и звук разблокировки.
Наблюдатели утверждали, что двумя автопроизводителями, о которых идет речь, вероятно, были Toyota и ее люксовый бренд Lexus. На вопрос, соответствуют ли эти утверждения действительности, представитель Toyota Motor Corporation не подтвердил и не опроверг их.
Карри заявил, что они с Шахом решили выполнить просьбу производителей остаться анонимными из-за текущей загруженности специалистов по информационной безопасности.
Он сказал: «Очевидно, они попросили не называть их имен, и, хотя обычно мы боролись бы за то, чтобы указать названия компаний, сейчас в мире безопасности напряженное время, и мне не нравится идея, что они будут отвлекать ресурсы, беспокоясь об этом раскрытии». ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Connor Jones
