Прежде чем мы продолжим, мы хотели бы посоветовать дорогому читателю сесть и, возможно, надеть шлем, поскольку этот пост вызовет немало хлопков по лбу. Двое исследователей безопасности объединили усилия и в начале 2026 года сумели взломать инфраструктуру серверной части автомобильной телематики двух автопроизводителей, получив возможность удаленно открывать двери любых подключенных к сети автомобилей и запускать их двигатели в различных регионах мира.
Уязвимости были быстро устранены, и они касались ряда вызывающих недоумение проблем безопасности нескольких серверных API, которые используют соответствующие мобильные приложения. Кроме того, хотя удаленное открытие и запуск автомобилей были наиболее тревожными моментами, уязвимости также раскрывали местоположение автомобилей, пробег, уровень топлива, запас хода, состояние дверей и личную информацию клиентов.
Команда белых хакеров не раскрывает названия пострадавших автопроизводителей, но им удалось получить доступ к американским автомобилям Автопроизводителя №1, в то время как автомобили Автопроизводителя №2 были подвержены незапланированному снятию блокировки в Австралии, США и Канаде. Насколько мы можем судить по визуальному осмотру, второй компанией, возможно, является Toyota, поскольку демонстрационное видео взлома, по-видимому, изображает внедорожник RAV4.
Оба пострадавших автопроизводителя используют службы аутентификации и авторизации ForgeRock, хотя, за одним небольшим исключением, уязвимости, обнаруженные Шхубхамом Шахом и Сэмом Карри, касались плохих реализаций и практик безопасности. В одной из их статей подробно рассматриваются связанные с ForgeRock вопросы для обеих компаний, а в статье Шаха обсуждаются детали, касающиеся Автопроизводителя №2 и их австралийской инфраструктуры подключенных автомобилей.
Шах сначала декомпилировал приложение компании для Android и обнаружил сетевые вызовы к телематическому поддомену, быстро найдя местоположение “admintool”, содержащее страницу “TEST HARNESS” с запросом на вход. Если вы еще не следили за ходом событий, первая проблема заключается в том, что этот конечный узел доступен из Интернета в целом. Но что действительно привлекло внимание Шаха, так это проблема №2: пакет кода JavaScript, из которого должны были быть удалены все ненужные элементы, на самом деле содержал код всей функциональности серверной части, предоставляя карту для дальнейших махинаций.
Этого было достаточно, чтобы Шах получил возможность извлекать информацию о клиентах с помощью API-ключей, которые были *жестко закодированы* в указанном JavaScript. После некоторого тщательного построения цепочки запросов и сопоставления номерного знака с VIN с использованием общедоступной информации, он связал это с клиентом и нашел его адрес электронной почты. На этом этапе команда заметила, что автопроизводитель использует механизмы аутентификации ForgeRock, и потратила “пару недель” на выяснение того, как они использовались.
И именно здесь они пришли к выводу, что самый простой путь к победе — это возможность создать токен доступа для любого пользователя, задача, которая стала намного проще благодаря “проклятому” пакету JavaScript, найденному в конечной точке, содержащей *жестко закодированные учетные данные администратора*. Вероятно, они предназначались для промежуточной среды, но дуэт оценил, правильно, что их все равно можно было использовать.
На этом этапе они столкнулись с WAF перед сервисом. Web Application Firewall похож на сетевой файрвол, но вместо работы с IP-адресами и портами он учитывает конечные точки (URL) и требования для доступа к ним. Исследователи предполагают, что, хотя это и является хорошей и стандартной практикой, WAF был установлен из-за того, насколько плохи дела были внутри.
И они были правы. Декомпиляция приложения выявила “pinService”, и Шах обнаружил, что он доступен через WAF. Оттуда они нашли “getUser” и правильно предположили, что могут получить информацию о пользователях по их электронной почте, телефону и ID. Помните те административные учетные данные? Они пригодились, раскрыв хэши паролей пользователей, но поскольку это были SHA-512, их взлом был невозможен.
На этом этапе они использовали GPT-5.6 Sol Ultra для перебора имен путей и нашли незащищенный, который в конечном итоге позволил им перезаписать пароль любого пользователя, частично позволяя захватить их учетные записи. Однако все еще оставалось MFA.
Как оказалось, даже это было неправильно настроено, поскольку австралийская среда позволяла пользователям полностью пропускать MFA. С помощью некоторых умелых манипуляций с токенами между конечными точками и мобильным приложением им в конечном итоге удалось создать токены доступа, что позволило им полностью выдавать себя за любого пользователя… и разблокировать их автомобили. Затем было достаточно отправить API-запрос на команду “door-unlock”, и, конечно же, тестовый автомобиль немедленно открылся.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Bruno Ferreira
