İki otomobil markasında büyük açık: Anında kapıları açıp, motoru çalıştırıyorlar

Güvenlik araştırmacıları Sam Curry ve Shubham Shah, iki otomobil üreticisinin sistemlerinde buldukları açıklar sayesinde müşteri hesaplarına erişip araçları uzaktan kontrol edebildi. Sunucularda hem kullanıcı adının hem de şifrenin “admin” olarak bırakıldığı ortaya çıktı.

Dikkat çeken araştırmanın ayrıntıları 7 Kasım’da yayımlandı. Şirketlerin talebi üzerine iki markanın adı açıklanmadı. Araştırmacılar, üreticilere yapılan bildirimden yaklaşık iki saat sonra her iki şirketin de sorunları giderdiğini ve açıkta kalan giriş bilgilerini değiştirdiğini belirtti.

Her iki üretici de mobil uygulamalarındaki kullanıcı girişleri için ForgeRock adlı kimlik yönetimi platformunu kullanıyordu. Araştırmacılar, müşteri kayıtlarının tutulduğu altyapıyı incelerken Apache Felix adlı yönetim konsolunu keşfetti.

İnternetten doğrudan erişimi engelleyen güvenlik duvarını aşan araştırmacılar, konsola varsayılan giriş bilgileriyle girebildi. Sunucuda kendi kodlarını çalıştırarak müşteri kayıtlarının yönetildiği sisteme ulaştılar. Böylece müşterilerin e-posta adreslerini ve şifrelerini değiştirebilecek yetki elde ettiler.

Açığın sonuçlarını göstermek için bir test hesabının e-posta adresi araştırmacıların kontrolündeki bir adresle değiştirildi ve yeni şifre belirlendi. Mobil uygulamaya giriş sırasında gönderilen altı haneli doğrulama kodu da araştırmacılara ulaştı.