მკვლევრებმა ავტომწარმოებლების Android აპებით მანქანები დისტანციურად გახსნეს

უსაფრთხოების მკვლევრებმა ორი მსხვილი ავტომწარმოებლის Android აპებში არსებული ხარვეზები გამოიყენეს და დაკავშირებულ მანქანებზე დისტანციური წვდომა მოიპოვეს. მათ ძრავების გაშვება, ფარების აციმციმება და სიგნალის ჩართვა შეეძლოთ.

Assetnote-ის თანადამფუძნებელი შუბჰამ შაჰი და მკვლევარი სემ კარი ამ წლის დასაწყისში ერთად მუშაობდნენ ექსპლოიტებზე. მანქანების Android აპების შესწავლით მათ შექმნეს გზები, რომლითაც ავსტრალიასა და აშშ-ში მყოფ მანქანებზე დისტანციური ბრძანებების გაცემა შეძლეს.

მკვლევრებმა კვლევის სხვადასხვა ასპექტზე ცალკე ბლოგპოსტები გამოაქვეყნეს. შაჰმა აღნიშნა, რომ აშშ-ზე შეტევა „ბევრად მეტ შრომას მოითხოვდა“, რადგან ავტომწარმოებელმა „აშშ-ის, კანადისა და ევროპის OpenIDM გარემოების დაცვას გაცილებით მეტი დრო დაუთმო“.

ორივე შეტევის ჯაჭვი ForgeRock-ის იდენტობის პლატფორმის სისუსტეებს ეფუძნებოდა. ორივე ავტომწარმოებელი ამ პლატფორმას იყენებდა, თუმცა მკვლევრებმა მათი ვინაობა არ გაამხილეს. მკვლევრებს მანამდე Hyundai-ში, Kia-ში, Subaru-სა და სხვა კომპანიებში ხარვეზები ჰქონდათ გამოვლენილი.

ავსტრალიურ აპში მკვლევრებმა ჯერ ავტომობილის საიდენტიფიკაციო ნომერი (VIN) საჯარო სანომრე ნიშნების გადამოწმების სერვისებით მოიძიეს. შემდეგ ეს ნომრები შიდა API-ების მოთხოვნებში გამოიყენეს, რომლებმაც პერსონალური ინფორმაცია და მფლობელების ელფოსტის მისამართები გასცეს.

მათ ასევე აღმოაჩინეს ForgeRock OpenIDM-ის ადმინისტრატორის ანგარიშის კოდში ჩაშენებული მონაცემები. ისინი სატესტო გარემოსთვის იყო განკუთვნილი, თუმცა სამუშაო გარემოშიც მოქმედებდა. WAF-ის მკაცრი ფილტრაციის გვერდის ავლის შემდეგ, რაც ბილიკის გადაკვეთის ხარვეზების გამოყენებით შეძლეს, მკვლევრებმა შიდა ადმინისტრაციულ API-ებს მიმართეს და სამიზნე ანგარიშები მხოლოდ ელფოსტის მისამართების გამოყენებით ჩაიგდეს ხელში.

ამან მათ საშუალება მისცა, ავტორიზაციის ტოკენები შეექმნათ და მობილური აპის მეშვეობით დაზიანებული მანქანებისთვის ნებისმიერი ბრძანება გაეგზავნათ.

აშშ-ის ვერსიაში ბრძანებების გაცემა ასევე მოითხოვდა WAF-ის ფილტრაციის გვერდის ავლას ბილიკის გადაკვეთის გზით, თუმცა უფრო რთული მეთოდით. მკვლევრებმა ბილიკის აღრევა გამოიყენეს და Apache Felix-ის ადმინისტრატორის კონსოლამდე მიაღწიეს.

Felix-ის OSGi Web Console-ში ქარხნული ნაგულისხმევი მონაცემებით მკვლევრებმა ადმინისტრატორის უფლებები მოიპოვეს. შემდეგ Felix-ის კონფიგურაციის მენეჯერით დაგეგმეს დავალება, რომელიც ჩაშენებულ Groovy სკრიპტს ასრულებდა. ამან მათ იდენტობის სერვერებზე ბრძანების გარსთან წვდომა მისცა.