Две компании устранили уязвимость примерно за 2 часа после сообщения

Она позволяла получить доступ к учётной записи и отправлять команды подключённому автомобилю без согласия владельца. Компании устранили проблему примерно через два часа после сообщения исследователей, пишет Сэм Карри.

Обе компании попросили не раскрывать их названия. Их системы обслуживали клиентов в нескольких регионах, но всю цепочку от входа в чужую учётную запись до команды автомобилю исследователи проверили только на аккаунтах и машинах в США. Доступные действия зависели от модели и подписки на подключённые сервисы: приложение владельца могло показывать местоположение и состояние машины, запирать двери и управлять дистанционным запуском двигателя.

Шах и Карри разобрали Android-приложения обеих компаний и проследили процесс входа. Выяснилось, что за учётные записи и авторизацию в обоих случаях отвечала платформа ForgeRock. Обычные запросы к административным разделам серверов блокировала защита, однако исследователи подобрали особую запись адреса: защитный фильтр принимал запрос за обращение к статическому файлу, а сервер направлял его в скрытую административную консоль Apache Felix.

Консоль принимала стандартную пару логина и пароля admin:admin. Через её настройки исследователи запустили код в процессе ForgeRock OpenIDM, который работает с записями клиентов, а затем получили административные учётные данные из окружения процесса. Публичный доступ к базе клиентов защита по-прежнему блокировала, но изнутри сервера исследователи смогли обратиться к ней напрямую.

Как уязвимости серверов дали доступ к автомобилям

Доступ к клиентским записям позволял искать пользователей по имени, адресу электронной почты, номеру телефона или внутреннему идентификатору. В ходе проверки исследователи изменили адрес почты и пароль выбранной учётной записи. Код подтверждения входа пришёл на подконтрольный им адрес, после чего они завершили обычную процедуру авторизации и получили токены, которыми пользуется мобильное приложение.

Смена почты и пароля не завершила уже открытую сессию владельца в приложении: новая сессия работала одновременно с ней. Получив токены, исследователи вернули в записи исходный адрес электронной почты; их доступ от этого не прекратился. Старый пароль восстановить они не могли, поскольку не знали его, поэтому после испытания владелец задал новый. Исследователи также установили, что регистрацией устройства для push-уведомлений управляет мобильный клиент: при проверке они могли указать собственный токен вместо токена телефона владельца.

Затем исследователи запросили список машин, привязанных к учётной записи. Ответ содержал VIN, сведения о подключённых сервисах и поддерживаемых дистанционных командах. Конкретный способ отправки команды зависел от автопроизводителя и поколения автомобиля: приложения использовали разные маршруты запросов, включая GraphQL для части машин второй компании.

Исследователи проверяли результат каждой команды по обновлённому состоянию автомобиля и вместе с владельцем, который находился рядом. Шах открыл машину и запустил двигатель, после чего остановил его и снова запер двери. Доступ к учётной записи также позволял видеть данные автомобиля, включая местоположение, пробег, запас хода и состояние дверей.

Как компании закрыли доступ

Об уязвимости исследователи сообщили командам безопасности обеих компаний в начале 2026 года. Примерно через два часа после получения сообщения компании устранили проблему, удалили установленный исследователями модуль и сменили затронутые учётные данные. Исследователи подтвердили доступ к рабочим системам учётных записей обоих автопроизводителей; полную проверку с автомобилями проводили в США.