islami haberdini haberortadoğu haberleriislam coğrafyası
DOLAR
50,2292
EURO
56,1322
ALTIN
6.515,48
BIST
11.661,86
Adana Adıyaman Afyon Ağrı Aksaray Amasya Ankara Antalya Ardahan Artvin Aydın Balıkesir Bartın Batman Bayburt Bilecik Bingöl Bitlis Bolu Burdur Bursa Çanakkale Çankırı Çorum Denizli Diyarbakır Düzce Edirne Elazığ Erzincan Erzurum Eskişehir Gaziantep Giresun Gümüşhane Hakkari Hatay Iğdır Isparta İstanbul İzmir K.Maraş Karabük Karaman Kars Kastamonu Kayseri Kırıkkale Kırklareli Kırşehir Kilis Kocaeli Konya Kütahya Malatya Manisa Mardin Mersin Muğla Muş Nevşehir Niğde Ordu Osmaniye Rize Sakarya Samsun Siirt Sinop Sivas Şanlıurfa Şırnak Tekirdağ Tokat Trabzon Tunceli Uşak Van Yalova Yozgat Zonguldak
İstanbul
Parçalı Bulutlu
13°C
İstanbul
13°C
Parçalı Bulutlu
Çarşamba Çok Bulutlu
17°C
Perşembe Çok Bulutlu
20°C
Cuma Çok Bulutlu
20°C
Cumartesi Yağmurlu
19°C

Fernzugriff auf Autos zweier Marken mit „admin“-Passwort

Forscher haben bei genehmigten Tests Fahrzeuge zweier Marken aus der Ferne entriegelt und deren Motoren gestartet. Die in den USA erprobte Schwachstelle wurde am Tag der Meldung behoben.

Fernzugriff auf Autos zweier Marken mit „admin“-Passwort
Nachrichten
Mirat Haber
11/11/2026 01:39
A+
A-

Die IT-Sicherheitsforscher Shubham Shah und Sam Curry haben in den USA über Schwachstellen in der Infrastruktur der mobilen Apps zweier Automarken Testfahrzeuge mit Zustimmung ihrer Besitzer entriegelt und deren Motoren gestartet. Wie NTV unter Berufung auf Anadolu Ajansı berichtet, stellten sie bei den Tests im Februar 2026 fest, dass die Administrationsoberfläche den voreingestellten Benutzernamen und das Passwort „admin“ akzeptierte. Der Zugriff umfasste auch die Fahrzeugstandorte und die über die Apps angebotenen Fernsteuerungsfunktionen.

Die wichtigsten Ergebnisse der Untersuchung

  • Die Anmeldung bei den mobilen Apps beider Hersteller erfolgte über die Identitätsmanagement-Infrastruktur ForgeRock.
  • Auf Wunsch der Unternehmen nannten die Forscher die betroffenen Marken nicht.
  • Die vollständigen Angriffstests in den USA wurden ausschließlich an Fahrzeugen durchgeführt, deren Besitzer zugestimmt hatten.
  • Beide Hersteller behoben die am Fahrzeug erprobte Schwachstelle am Tag der Meldung und erneuerten die betroffenen Zugangsdaten.

Zugriff auf die Administrationsoberfläche hinter der Firewall

Dem Bericht der Forscher zufolge blockierte eine Firewall den direkten Zugriff auf die Administrationsoberfläche. Weil Firewall und Server dieselbe Webadresse jedoch unterschiedlich interpretierten, ließ sich diese Sperre umgehen. Die so erreichbare Oberfläche akzeptierte „admin“ sowohl als Benutzernamen als auch als Passwort.

Diese Zugangsdaten gehörten nicht zum persönlichen Konto des Fahrzeugbesitzers, sondern zur Administrationsoberfläche der Infrastruktur. Nachdem die Forscher Zugriff auf den Server erlangt hatten, änderten sie die E-Mail-Adresse und das Passwort des für den Test freigegebenen Kontos und meldeten sich damit neu in der mobilen App an.

Ping Identity, der Eigentümer der Plattform, empfiehlt in seinem Sicherheitsleitfaden dagegen, diese Oberfläche aus dem Produktivsystem zu entfernen oder sie durch geänderte Zugangsdaten abzusichern. Betrachtet man die im Bericht beschriebene Konfiguration zusammen mit diesen Schutzempfehlungen, wird deutlich, dass die Absicherung der Administrationsoberfläche im Mittelpunkt des Vorfalls stand.

Was bedeutete der Zugriff für Fahrzeugbesitzer?

Obwohl beim genehmigten Test die E-Mail-Adresse und das Passwort des Kontos geändert wurden, blieb die bestehende Sitzung auf dem Telefon des Fahrzeugbesitzers aktiv. Zugleich konnten die Forscher über ihre neu eröffnete Sitzung auf den Fahrzeugstandort und die von der App unterstützten Fernsteuerungsfunktionen zugreifen. Damit zeigte sich, dass über dasselbe Konto aus einer weiteren Sitzung Befehle gesendet werden konnten, während die Sitzung des Besitzers weiterlief.

Shah entriegelte die Türen und startete den Motor, während der Besitzer neben dem Auto stand. Das Testergebnis beschränkte sich somit nicht auf den Zugriff auf Kontodaten: Auch die von der App angebotenen physischen Fahrzeugfunktionen ließen sich nutzen. Die nach der Meldung umgesetzte Korrektur umfasste das Schließen der am Fahrzeug erprobten Schwachstelle und die Erneuerung der betroffenen Zugangsdaten.

Der Befund in Australien betrifft einen anderen Zugangsweg

In einem gesonderten Bericht von Shah hieß es, dass in einem System in Australien Administrator-Zugangsdaten für eine Testumgebung in einer JavaScript-Datei hinterlegt waren. Dieselben Daten funktionierten auch im System für den Kundenbetrieb. Auf diesem Weg entriegelten die Forscher die Tür eines für den Test freigegebenen Fahrzeugs.

Nach Shahs Angaben zeigen die beiden Untersuchungen zusammen, dass sich Fernsteuerungsbefehle an vernetzte Fahrzeuge in den USA, Kanada und Australien senden ließen. Das bei den US-Tests beschriebene Starten des Motors und das Entriegeln einer Fahrzeugtür beim Test in Australien sind dabei als getrennte Befunde aufgeführt. Wann die Schwachstelle in Australien geschlossen wurde und ob andere Personen als die Forscher diese Methoden nutzten, geht aus den öffentlich zugänglichen Berichten nicht hervor.

Welche Angaben sind bekannt, was bleibt offen?

Welche Automarken sind betroffen?

Die Namen der beiden Marken wurden nicht veröffentlicht. Die Forscher verzichteten auf Wunsch der Unternehmen auf diese Angabe.

Wurden alle Schwachstellen behoben?

Beide Hersteller behoben die in den USA am Fahrzeug erprobte Schwachstelle noch am Tag der Meldung und erneuerten die betroffenen Zugangsdaten. Wann die gesonderte Schwachstelle in Australien geschlossen wurde, ist in den öffentlich zugänglichen Berichten nicht angegeben.

Yorumlar

Henüz yorum yapılmamış. İlk yorumu yukarıdaki form aracılığıyla siz yapabilirsiniz.