Пароль «admin» открыл удалённый доступ к автомобилям двух марок

Исследователи получили доступ к панели за межсетевым экраном

Согласно отчёту исследователей, прямой доступ к панели администрирования блокировал межсетевой экран. Однако межсетевой экран и сервер по-разному интерпретировали один и тот же веб-адрес, что позволило обойти ограничение. В открывшейся панели значение «admin» подходило и в качестве имени пользователя, и в качестве пароля.

Эти данные относились не к личной учётной записи автовладельца, а к панели администрирования инфраструктуры. Получив доступ к серверу, исследователи изменили адрес электронной почты и пароль тестовой учётной записи, использовавшейся с разрешения владельца, и вошли в мобильное приложение, создав новый сеанс.

В руководстве по безопасности владельца платформы, компании Ping Identity, рекомендуется удалять эту панель из рабочей среды либо защищать её, меняя учётные данные. Описанная в отчёте конфигурация в сопоставлении с этими рекомендациями показывает, что ключевую роль в произошедшем сыграла защищённость панели администрирования.

В Австралии обнаружили другой способ получения доступа

В отдельном отчёте Шаха говорится, что в одной из систем в Австралии администраторские учётные данные, подготовленные для тестовой среды, были встроены в файл JavaScript. Выяснилось, что те же данные действовали и в системе, обслуживающей клиентов. Воспользовавшись ими, исследователи разблокировали двери тестового автомобиля с разрешения владельца.

По словам Шаха, два исследования в совокупности показали возможность удалённой отправки команд подключённым автомобилям в США, Канаде и Австралии. При этом запуск двигателя во время испытаний в США и разблокировка дверей в Австралии описаны как отдельные результаты. В опубликованных отчётах не указано, когда устранили австралийскую уязвимость и применял ли кто-либо эти методы помимо исследователей.