Varsayılan ‘admin:admin’ Şifresiyle Otomobil Üreticilerinin Sistemleri Hacklendi, Araçlar Uzaktan Açılıp Çalıştırıldı

Varsayılan ‘admin:admin’ Şifresiyle Otomobil Üreticilerinin Sistemleri Hacklendi, Araçlar Uzaktan Açılıp Çalıştırıldı

İki güvenlik araştırmacısı, iki otomobil markasının mobil uygulamalarının arkasındaki giriş sistemlerinin tamamen ele geçirilebileceğini keşfetti. Bu durum, herhangi bir müşterinin hesabına erişim sağlamalarına ve bağlantılı aracı olan bir sahibinin kapılarını açıp motoru çalıştırmasına olanak tanıdı.

Her iki uygulama da müşterileri, şu anda Ping Identity’nin bir parçası olan ForgeRock kimlik platformu üzerinden oturum açtırıyordu. Araştırmacılar, bu sunucularda varsayılan şifresini hala kullanan bir yönetici konsoluna ulaştılar.

Saldırının tamamını yalnızca kendi araçları ve rıza gösteren ABD’deki araç sahiplerinin araçları üzerinde Şubat 2026’da test ettiler. Sorun bildirildikten yaklaşık iki saat sonra her iki sistem de düzeltildi.

Shubham Shah ve Sam Curry, çalışmalarını geçen hafta yayınladılar. Uygulamalarla başladılar: her iki marka da müşterileri aynı platform üzerinden oturum açtırıyordu. Bu platform iki bölümden oluşuyordu: biri giriş için, diğeri ise müşteri kayıtlarını tutan OpenIDM adlı bir bölüm.

OpenIDM, Apache Felix aracı tarafından desteklenen yerleşik bir yönetici konsoluyla birlikte gelir. ForgeRock’un kendi güvenlik sertleştirme kılavuzu, operatörlere bu konsolu yayına almadan önce kaldırmalarını veya korumalarını söyler çünkü kendi şifresini sistemin geri kalanından ayrı olarak saklar. Bu sunucularda konsol hala mevcuttu ve belgelenmiş varsayılanı kullanıyordu: hem kullanıcı adı hem de şifre için ‘admin’ kelimesi.

Konsol, açık internetten engellenmişti, ancak siteyi koruyan kenar ve arkasındaki Java yazılımı aynı web adresini farklı okuyordu. Araştırmacılar, kodlanmış eğik çizgiler ve ek karakterler ekleyerek, kenarın isteği zararsız bir statik dosya olarak işlemesini sağlarken, sunucu bunu konsolun yolu olarak algıladı ve varsayılan şifre gerisini halletti. Tam yöntem, araştırmacıların teknik analizlerinde bulunmaktadır.

Konsolun içinde araştırmacılar, kimlik sunucusunda kendi kodlarını çalıştıran küçük komut dosyalarını yürütmek için yerleşik bir zamanlayıcı kullandılar. Bu onlara, her iki markanın girişleri için müşteri kayıtlarını tutan makinede bir komut istemi sağladı.

Kayıtlar, konsolla aynı engelin arkasındaydı, ancak araştırmacıların kodu onlara sunucunun içinden ulaştı. Hedef bir hesabın e-posta adresini ve şifresini değiştirdiler, normal uygulama üzerinden o müşteri olarak oturum açtılar ve gerçek uygulamanın kullandığı aynı erişim belirteçlerini aldılar.

Bu belirteçler aracın anahtarlarıydı. Hesabın kendi araç komutlarını kullanarak, araştırmacılar bir test aracının kapılarını açtılar ve motorunu çalıştırdılar, sahibi yanında dururken, ardından motoru durdurup tekrar kilitlediler.

Araştırmacılar, gösterdikleri konusunda dikkatli davrandılar. Etkilenen sunuculardaki herhangi bir müşteri hesabı için oturum açabildiklerini bildirdiler, ancak araç komutlarını yalnızca sahip oldukları veya kullanmalarına izin verilen araçlar üzerinde çalıştırdılar. “Tam zinciri yalnızca ABD hesapları ve araçlarıyla test ettiklerini” belirttiler.

Shubham Shah, aynı markaların Avustralya sistemleri üzerinde ikinci bir saldırı yayınladı. Orada, giriş yolu farklıydı: kimlik sunucusu için yönetici kimlik bilgileri, bir test kurulumu için tasarlanmış olarak uygulamanın kodunda bırakılmıştı. Avustralya zincirini ayrı bir gönderide detaylandırdı.

Her iki saldırı bir araya geldiğinde, araştırmacılar, markaların Avustralya, Amerika Birleşik Devletleri ve Kanada’daki araçlarına kilit açma ve motor çalıştırma komutları gönderebildiklerini söylediler. Bu ikinci gönderide Avustralya sistemlerinin ne zaman düzeltildiğine dair bir tarih verilmemiştir.

Saldırı, bir sahibinin fark etmesi için çok az şey bıraktı. E-posta ve şifrenin değiştirilmesi, sahibini uygulamasından çıkarmadı ve araştırmacılar, hesabın uyarılarını kendi telefonlarına yönlendirerek, sahibinin telefonundan uzak tutabildiler.

Araştırmacılar, testten sonra gerçek e-posta adresini geri koydular. Her iki yazıda da, yol kapatılmadan önce başka birinin bu yolu bulup kullanıp kullanmadığı belirtilmiyor.

Kimlik Ekiplerinin Kontrol Etmesi Gerekenler

Markaların hatası, ForgeRock’u nasıl çalıştırdıklarındaydı, üründe yeni bir hata değildi, bu nedenle bir güvenlik açığını izleyen genel kimlik olan CVE ve takip edilecek bir satıcı uyarısı bulunmamaktadır. Konsol ve varsayılan şifresi yıllardır belgelenmiştir ve üreticinin üretim sertleştirme kılavuzu, operatörlere yayına almadan önce konsolu kaldırmalarını veya şifresini değiştirmelerini zaten söylemektedir.

Şimdi PingIDM olarak satılan aynı kimlik yazılımını çalıştıran ekipler için iki kontrol önemlidir:

• Apache Felix konsolunu /system/console adresinde arayın ve kaldırın veya varsayılan şifresini değiştirin.
• Bir yönetici sayfasını gizlemek için kenar veya WAF yol kurallarına güvenmeyin. Kenarın ve sunucunun farklı okuduğu bir yol, burada olduğu gibi kuralları atlatabilir.

İki araştırmacının bu tür çalışmalarda uzun bir geçmişi var; genellikle araçların kendileri yerine uygulamaların arkasındaki web sistemlerine sızıyorlar. Honda, Kia ve Subaru gibi markaların araçlarına uzaktan erişim sağladıklarını gösterdiler.

Bildirdikleri bir Subaru güvenlik açığı, o otomobil üreticisinin bağlantılı araç hizmeti aracılığıyla sahiplerin hesaplarını ve araçlarını ifşa etti ve 2023’teki daha geniş kapsamlı 16 markalı bir çalışma, sektörün çoğunda aynı tür web zayıflığını buldu.