Editorial news visual · Fernzugriff auf Autos zweier Marken mit „admin“-Passwort · Mirat Haber
Die IT-Sicherheitsforscher Shubham Shah und Sam Curry haben in den USA über Schwachstellen in der Infrastruktur der mobilen Apps zweier Automarken Testfahrzeuge mit Zustimmung ihrer Besitzer entriegelt und deren Motoren gestartet. Wie NTV unter Berufung auf Anadolu Ajansı berichtet, stellten sie bei den Tests im Februar 2026 fest, dass die Administrationsoberfläche den voreingestellten Benutzernamen und das Passwort „admin“ akzeptierte. Der Zugriff umfasste auch die Fahrzeugstandorte und die über die Apps angebotenen Fernsteuerungsfunktionen.
Dem Bericht der Forscher zufolge blockierte eine Firewall den direkten Zugriff auf die Administrationsoberfläche. Weil Firewall und Server dieselbe Webadresse jedoch unterschiedlich interpretierten, ließ sich diese Sperre umgehen. Die so erreichbare Oberfläche akzeptierte „admin“ sowohl als Benutzernamen als auch als Passwort.
Diese Zugangsdaten gehörten nicht zum persönlichen Konto des Fahrzeugbesitzers, sondern zur Administrationsoberfläche der Infrastruktur. Nachdem die Forscher Zugriff auf den Server erlangt hatten, änderten sie die E-Mail-Adresse und das Passwort des für den Test freigegebenen Kontos und meldeten sich damit neu in der mobilen App an.
Ping Identity, der Eigentümer der Plattform, empfiehlt in seinem Sicherheitsleitfaden dagegen, diese Oberfläche aus dem Produktivsystem zu entfernen oder sie durch geänderte Zugangsdaten abzusichern. Betrachtet man die im Bericht beschriebene Konfiguration zusammen mit diesen Schutzempfehlungen, wird deutlich, dass die Absicherung der Administrationsoberfläche im Mittelpunkt des Vorfalls stand. Obwohl beim genehmigten Test die E-Mail-Adresse und das Passwort des Kontos geändert wurden, blieb die bestehende Sitzung auf dem Telefon des Fahrzeugbesitzers aktiv. Zugleich konnten die Forscher über ihre neu eröffnete Sitzung auf den Fahrzeugstandort und die von der App unterstützten Fernsteuerungsfunktionen zugreifen. Damit zeigte sich, dass über dasselbe Konto aus einer weiteren Sitzung Befehle gesendet werden konnten, während die Sitzung des Besitzers weiterlief.
Shah entriegelte die Türen und startete den Motor, während der Besitzer neben dem Auto stand. Das Testergebnis beschränkte sich somit nicht auf den Zugriff auf Kontodaten: Auch die von der App angebotenen physischen Fahrzeugfunktionen ließen sich nutzen. Die nach der Meldung umgesetzte Korrektur umfasste das Schließen der am Fahrzeug erprobten Schwachstelle und die Erneuerung der betroffenen Zugangsdaten.
In einem gesonderten Bericht von Shah hieß es, dass in einem System in Australien Administrator-Zugangsdaten für eine Testumgebung in einer JavaScript-Datei hinterlegt waren. Dieselben Daten funktionierten auch im System für den Kundenbetrieb. Auf diesem Weg entriegelten die Forscher die Tür eines für den Test freigegebenen Fahrzeugs. Nach Shahs Angaben zeigen die beiden Untersuchungen zusammen, dass sich Fernsteuerungsbefehle an vernetzte Fahrzeuge in den USA, Kanada und Australien senden ließen. Das bei den US-Tests beschriebene Starten des Motors und das Entriegeln einer Fahrzeugtür beim Test in Australien sind dabei als getrennte Befunde aufgeführt. Wann die Schwachstelle in Australien geschlossen wurde und ob andere Personen als die Forscher diese Methoden nutzten, geht aus den öffentlich zugänglichen Berichten nicht hervor.
Die Namen der beiden Marken wurden nicht veröffentlicht. Die Forscher verzichteten auf Wunsch der Unternehmen auf diese Angabe.
Beide Hersteller behoben die in den USA am Fahrzeug erprobte Schwachstelle noch am Tag der Meldung und erneuerten die betroffenen Zugangsdaten. Wann die gesonderte Schwachstelle in Australien geschlossen wurde, ist in den öffentlich zugänglichen Berichten nicht angegeben.
Die wichtigsten Ergebnisse der Untersuchung
Zugriff auf die Administrationsoberfläche hinter der Firewall
Was bedeutete der Zugriff für Fahrzeugbesitzer?
Der Befund in Australien betrifft einen anderen Zugangsweg
Welche Angaben sind bekannt, was bleibt offen?
Welche Automarken sind betroffen?
Wurden alle Schwachstellen behoben?
Die Hoffnung auf eine Entspannung zwischen den USA und Iran drückte Brent-Öl unter 90 Dollar.…
Laut NTV steht GTA 6 für Konsolennutzer, die das Spiel vorbestellt haben, zum Vorabdownload bereit.…
EU-Kommissionspräsidentin von der Leyen kündigt Mittel für ein Zentrum für maritime Sicherheit im Schwarzen Meer…
Die Anwältin von Tuğyan Ülkem Gülter, die wegen des Todes ihrer Mutter Güllü zu lebenslanger…
Wie AA berichtet, fordert die FDA, die Sicherheitskennzeichnung von GLP-1-Medikamenten zur Behandlung von Diabetes und…
Präsident Erdoğan erklärte bei einer Gedenkfeier für Atatürk, bei der Lösung der Terrorfrage seien Fortschritte…
