نفوذ به سیستم‌های احراز هویت دو خودروساز با استفاده از رمز عبور پیش‌فرض
Default 'admin:admin' Server Password Helps Researchers Hack Two Automakers, Unlock and Start Cars
دو محقق امنیتی با بهره‌برداری از رمز عبور پیش‌فرض در کنسول مدیریتی پلتفرم ForgeRock، موفق به دسترسی به حساب‌های کاربری مشتریان دو برند خودروسازی شدند. این آسیب‌پذیری به مهاجمان اجازه می‌داد تا بدون اطلاع مالک، قفل خودروها را باز کرده و موتور آن‌ها را روشن کنند.
جزئیات فنی و نحوه نفوذ
محققان امنیتی، Shubham Shah و Sam Curry، کشف کردند که سیستم‌های احراز هویت دو خودروساز از پلتفرم ForgeRock (که اکنون بخشی از Ping Identity است) استفاده می‌کنند. در این پلتفرم، بخشی به نام OpenIDM وجود دارد که از ابزار Apache Felix برای کنسول مدیریتی استفاده می‌کند. با وجود توصیه‌های امنیتی مبنی بر حذف یا ایمن‌سازی این کنسول، این بخش در سرورهای مذکور فعال باقی مانده و از نام کاربری و رمز عبور پیش‌فرض 'admin:admin' استفاده می‌کرد.
مهاجمان با استفاده از تکنیک دور زدن فیلترهای امنیتی در لبه شبکه (Edge)، با وارد کردن اسلش‌های کدگذاری شده و کاراکترهای اضافی، موفق شدند درخواست‌های خود را به کنسول مدیریتی برسانند. پس از ورود، آن‌ها با استفاده از یک زمان‌بند داخلی، کدهای مخرب خود را اجرا کرده و به پایگاه داده مشتریان دسترسی یافتند. با تغییر ایمیل و رمز عبور حساب‌های کاربری، مهاجمان توانستند توکن‌های دسترسی معتبر دریافت کرده و دستورات باز کردن قفل و روشن کردن موتور را برای خودروهای متصل ارسال کنند.
آسیب‌پذیری در سیستم‌های استرالیا
علاوه بر نفوذ در ایالات متحده، Shubham Shah یک مسیر حمله متفاوت را برای سیستم‌های همان برندها در استرالیا شناسایی کرد. در این مورد، اعتبارنامه‌های مدیریتی سرور احراز هویت به دلیل باقی ماندن در کدهای برنامه (که برای محیط تست در نظر گرفته شده بود) در دسترس قرار داشت. این نفوذها در مجموع امکان کنترل خودروها در ایالات متحده، کانادا و استرالیا را فراهم می‌کرد.
پیامدها و وضعیت فعلی
این حملات در فوریه ۲۰۲۶ آزمایش شدند و پس از گزارش محققان، سیستم‌های آسیب‌دیده ظرف دو ساعت اصلاح شدند. از آنجایی که این مشکل ناشی از پیکربندی نادرست نرم‌افزار توسط خودروسازان بوده و نه یک باگ در خود محصول، هیچ شناسه CVE برای آن صادر نشده است. مهاجمان می‌توانستند با تغییر ایمیل حساب کاربری، هشدارهای امنیتی را به جای مالک به گوشی خود هدایت کنند تا فعالیت‌های غیرمجاز شناسایی نشود.
نکته‌های کلیدی
- استفاده از رمز عبور پیش‌فرض admin:admin در کنسول مدیریتی Apache Felix.
- دور زدن فیلترهای WAF و Edge با استفاده از دستکاری مسیرهای URL.
- دسترسی به حساب‌های کاربری و امکان کنترل از راه دور خودروها (باز کردن قفل و روشن کردن موتور).
- عدم وجود CVE به دلیل خطای پیکربندی در پیاده‌سازی نرم‌افزار توسط مشتری.
- امکان تغییر اطلاعات حساب کاربری بدون اطلاع‌رسانی به مالک اصلی.
چه باید کرد
- کنسول مدیریتی Apache Felix در مسیر /system/console را حذف یا رمز عبور پیش‌فرض آن را تغییر دهید.
- برای محافظت از صفحات مدیریتی، تنها به قوانین مسیر در WAF یا Edge تکیه نکنید، زیرا ممکن است با تکنیک‌های دور زدن مسیر (Path Traversal) نادیده گرفته شوند.
- اطمینان حاصل کنید که کدهای مربوط به محیط تست (Test Setup) در نسخه‌های عملیاتی (Production) باقی نمانده باشند.