Güvenlik araştırmacıları iki araba markasının sunucusuna admin:admin kullanıcı ismi ve şifresiyle girmeyi başardı. Zira bu erişim, müşteri hesaplarını değiştirme yetkisi veriyordu. Üstelik araç sahibi olan şoförler hesaplarının ele geçirildiğini çabucak anlayamıyordu.

Açığı Sam Curry ve Shubham Shah buldu. Sorun, iki üreticinin taşınabilir uygulamalarındaki müşteri giriş sistemini etkiliyordu. Araştırmanın detayları 7 Kasım’da yayımlandı. Lakin şirketlerin talebi üzerine markaların isimleri açıklanmadı.

Sunucuya admin:admin ile girdiler

İki üretici de uygulamalardaki kullanıcı girişleri için ForgeRock isimli kimlik idaresi platformunu kullanıyordu. Öte yandan araştırmacılar müşteri kayıtlarının tutulduğu idare altyapısına ulaşmaya çalışırken Apache Felix isimli bir idare konsolu buldu.

Konsol, internetten direkt erişimi engelleyen bir güvenlik duvarının arkasındaydı. Lakin araştırmacılar özel hazırladıkları internet adresleriyle bu duvarı aştı. Akabinde karşılarına çıkan giriş ekranında varsayılan bilgileri denediler. Hakikaten her iki markanın sunucusunda da kullanıcı ismi ve şifre “admin” idi.

Bu erişimle sunucuda kendi kodlarını çalıştırabildiler. Bunun yanı sıra müşteri kayıtlarının yönetildiği sisteme de ulaştılar. Böylelikle istedikleri müşterinin e-posta adresini ve şifresini değiştirebilecek yetkiye kavuştular.

Kilit açıldı, motor çalıştı

İlk olarak araştırmacılar bir test hesabının e-posta adresini kendi denetimlerindeki bir adresle değiştirdi ve yeni şifre belirledi. Akabinde aracın taşınabilir uygulamasına olağan kullanıcı üzere girdi. Altı haneli doğrulama kodu direkt kendilerine ulaştı.

Aynı vakitte hesap üzerinden aracın şasi numarasına, modeline ve abonelik bilgilerine baktılar. Test arabasının kapılarını uzaktan açıp motorunu çalıştırdılar, sonra motoru durdurup kapıları yine kilitlediler. Hesabın e-posta adresi ve parolası değişti. Tekrar de mevcut uygulama oturumu kapanmıyordu. Hasebiyle gerçek sahip uygulamayı kullanmaya devam edebiliyordu.

Tam taarruz zinciri ABD’deki hesaplar ve araçlar üzerinde denendi. Öbür taraftan Shubham Shah, birebir markaların Avustralya sistemlerinde farklı bir açık da buldu. Burada taşınabilir uygulamanın kodlarına gömülü yönetici giriş bilgileri kullanılabiliyordu. Bununla birlikte, iki araştırmacının sonuçlarına nazaran ABD, Kanada ve Avustralya’daki araçlara uzaktan kilit açma ve motor çalıştırma komutları gönderilebiliyordu.

Açıklar iki saatte kapandı

Araştırmacılara nazaran iki şirket de bildirimden yaklaşık iki saat sonra meseleleri giderdi ve açıkta kalan giriş bilgilerini değiştirdi. Bu sebeple kullanıcıların telefonlarına ya da araçlarına güncelleme yüklemesi gerekmiyor. Çünkü sorun arabalarda değil, üreticilerin sunucu yapılandırmasındaydı.

Araştırmacılar daha evvel Subaru’nun Starlink sisteminde de kritik bir açık bulmuştu. Araç sahiplerinin birtakım ferdî bilgilerini bilen biri arabanın kilidini açabiliyor, motoru çalıştırabiliyor, hatta bir yıllık pozisyon geçmişine erişebiliyordu. Subaru, bildirimden bir gün sonra sorunu kapattı.

Kaynak: Shiftdelete