Исследователи Шубхам Шах и Сэм Карри сообщили об ошибках в системах авторизации мобильных приложений двух автомобильных брендов: они позволяли получить доступ к аккаунту любого клиента, а в случае подключённых автомобилей — отправлять команды на разблокировку дверей и запуск двигателя.
Полную цепочку Шах и Карри проверили в феврале 2026 года в США — только на собственных автомобилях и машинах владельцев, давших согласие на тестирование. По их данным, обе американские системы исправили примерно через два часа после уведомления. Результаты работы исследователи опубликовали в конце прошлой недели.
Доступ через административную консоль
Для входа клиентов оба бренда использовали платформу управления идентификацией ForgeRock, которая теперь входит в Ping Identity. В архитектуре были задействованы компонент авторизации и OpenIDM — компонент, в котором хранились записи клиентов.
В OpenIDM оставалась встроенная административная консоль на базе Apache Felix. Руководство ForgeRock по защите производственных развёртываний рекомендует удалить эту консоль либо защитить её до ввода системы в эксплуатацию: для неё используется отдельный пароль, не связанный с остальной системой. В проверенных средах консоль не удалили, а её учётная запись сохранила документированные значения по умолчанию — имя пользователя и пароль admin.
Напрямую из интернета консоль недоступна не была. Но пограничный сервер, защищавший сайт, и Java-приложение за ним по-разному обрабатывали один URL. Исследователи добавили закодированные косые черты и дополнительные символы. Для пограничного сервера запрос выглядел обращением к безобидному статическому файлу, тогда как сервер приложений интерпретировал его как путь к административной консоли. После обхода фильтрации доступ открывала стандартная пара admin:admin.
В консоли Шах и Карри использовали встроенный планировщик для запуска небольших скриптов. Это дало им возможность выполнить код на сервере идентификации и получить командную строку машины, на которой размещались записи для входа клиентов обоих брендов.
Сами записи находились за тем же ограничением доступа, что и консоль. Однако выполнение кода на сервере позволило обратиться к ним изнутри. Исследователи меняли адрес электронной почты и пароль целевого аккаунта, затем входили под ним через штатное мобильное приложение и получали те же токены доступа, которыми пользуется настоящее приложение.
Эти токены позволяли выполнять привязанные к аккаунту команды управления автомобилем. На тестовой машине, рядом с которой находился её владелец, исследователи разблокировали двери и запустили двигатель, затем остановили его и вновь заблокировали автомобиль.
Проверка ограничивалась согласованными автомобилями
Шах и Карри заявили, что могли открыть сессию для любого клиентского аккаунта на уязвимых серверах. При этом команды управления они отправляли только автомобилям, которыми владели сами либо на использование которых имели разрешение. Полную цепочку они, по собственным словам, тестировали только с американскими аккаунтами и автомобилями.
Новости информационной безопасности, технологий и государственного регулирования, а также анонсы новых исследований Tech Threat Lab.
Отдельно Шах описал атаку на австралийские системы тех же брендов. Начальная точка проникновения в этом сценарии отличалась: в коде приложения для тестовой конфигурации сохранились учётные данные администратора сервера идентификации. Полную цепочку для Австралии он описал отдельно.
По утверждению исследователей, оба сценария позволяли направлять команды разблокировки и запуска двигателя автомобилям этих брендов в Австралии, США и Канаде. Когда устранили проблемы в австралийских системах, не раскрывается.
Следы компрометации могли быть почти незаметны владельцу. Смена адреса электронной почты и пароля не завершала его сессию в приложении. Кроме того, исследователи могли перенаправить уведомления аккаунта на свой телефон, не давая им появляться у владельца. После тестирования исходный адрес электронной почты восстановили.
В опубликованных материалах не сказано, обнаружил ли этот канал кто-либо до закрытия и использовали ли его третьи лица.
Что проверить в PingIDM
Описанный случай связан не с новой уязвимостью ForgeRock или Ping Identity, а с небезопасной эксплуатацией системы у автомобильных брендов. Поэтому для него нет CVE и отдельного бюллетеня или рекомендации поставщика по этому инциденту. Наличие консоли и её пароль по умолчанию давно документированы, а руководство производителя предписывало удалить консоль либо сменить пароль до запуска производственной среды.
Организациям, использующим это ПО управления идентификацией, которое теперь продаётся под названием PingIDM, стоит проверить два пункта:
- найти Apache Felix Console по пути
/system/consoleи удалить её либо сменить стандартный пароль; - не считать, что маршрутизация на пограничном узле или WAF сама по себе надёжно скрывает административную страницу. Расхождения в обработке одного маршрута на границе и на сервере приложений могут позволить обойти такие правила — именно этот эффект использовали исследователи.
Проверка цепочки «прокси или WAF — сервер приложений — административный компонент» требует сопоставить правила и фактическую обработку нестандартных URL. Если для такой работы не хватает внутренних ресурсов, можно привлечь специалистов, оказывающих услуги ИТБ по информационной безопасности, к проверке ограничений доступа и настроек компонентов управления идентификацией.
Для российских организаций в опубликованных материалах нет сведений о затронутых системах или атаках в России и СНГ. Практический вывод при этом универсален: административные компоненты управления идентификацией не должны оставаться доступными с учётными данными по умолчанию, а ограничения доступа к ним следует проверять на расхождения между прокси, WAF и сервером приложений.
Шах и Карри и раньше исследовали веб-системы, стоящие за автомобильными приложениями, а не сами автомобили. Они уже демонстрировали возможность удалённого доступа к автомобилям Honda, Kia, Subaru и других марок. Сообщённая ими проблема в системе Subaru приводила к раскрытию аккаунтов владельцев и данных об их автомобилях через сервис подключённых автомобилей производителя. Более широкое исследование 16 брендов, проведённое в 2023 году, выявило схожие недостатки веб-систем у большей части отрасли.