Хакеры получили доступ к аккаунтам владельцев двух автобрендов и смогли удалённо открывать машины и запускать двигатели ixbt.com
На серверах авторизации исследователи безопасности Шубхам Шах и Сэм Карри обнаружили уязвимость. Мобильные приложения двух автомобильных брендов использовали платформу управления учётными записями ForgeRock, принадлежащую теперь Ping Identity. На её серверах сохранилась административная консоль OpenIDM с заводскими учётными данными: логином admin и таким же паролем. Производитель платформы давно рекомендует отключать эту консоль или менять пароль перед запуском системы в эксплуатацию.
Консоль не была напрямую доступна из интернета, но исследователи обошли защиту с помощью специально сформированного URL. Пограничный фильтр воспринимал запрос как обращение к обычному статическому файлу, тогда как Java-сервер интерпретировал его как путь к административной консоли. Получив доступ, специалисты запустили собственный код на сервере и добрались до базы данных клиентских учётных записей.
Источник изображения: сгенерировано Muse
Затем они изменили адрес электронной почты и пароль тестовой учётной…