两家汽车品牌曝漏洞：凭“admin”密码即可远程访问

研究人员进入防火墙后的管理面板

研究人员的报告显示，防火墙阻止了对管理面板的直接访问。但由于防火墙与服务器对同一网址的解析方式不同，研究人员得以绕过这一限制。进入面板后，他们发现用户名和密码均可使用“admin”。

这里使用的凭据属于基础设施的管理面板，而非车主的个人账户。研究人员访问服务器后，修改了获授权测试账户的电子邮箱地址和密码，随后在移动应用中建立了新的登录会话。

平台所有者Ping Identity在安全指南中建议，从生产系统中移除该面板，或通过更改访问凭据对其加以保护。将报告披露的配置与这些防护建议对照，可以看出管理面板的安全性是此次事件的核心问题。

澳大利亚的发现涉及另一种访问方式

Shah在另一份报告中指出，澳大利亚某系统将为测试环境准备的管理员凭据嵌入了一个JavaScript文件。研究人员发现，这组凭据在面向客户提供服务的系统中同样有效，并通过这种方式解锁了一辆获授权测试车辆的车门。

Shah表示，两项研究共同表明，可以向美国、加拿大和澳大利亚的联网汽车发送远程指令。不过，美国测试中的发动机启动操作与澳大利亚的车门解锁测试，分别属于不同的发现。公开报告未说明澳大利亚的漏洞何时得到修复，也未说明除研究人员之外是否有人使用过这些方法。