Пароль admin открыл исследователям доступ к машинам двух автобрендов в США
Два исследователя безопасности нашли уязвимость в системе входа мобильных приложений двух автомобильных брендов. Через административную консоль с паролем по умолчанию admin они получили доступ к аккаунтам владельцев и смогли открыть двери и запустить двигатель тестового автомобиля в США.
Главное в цифрах
- Пароль консоли OpenIDM по умолчанию: admin для логина и пароля
- Тестирование полной цепочки проведено в США в феврале 2026 года
- Исправление обеих систем заняло около двух часов после сообщения
Серверы аутентификации обоих брендов работают на платформе ForgeRock, которая сейчас принадлежит Ping Identity. На этих серверах осталась административная консоль OpenIDM с логином и паролем admin. Консоль была закрыта от интернета, но пограничный фильтр и Java-сервер по-разному обрабатывали адрес запроса. Добавив закодированные слеши и лишние символы, исследователи заставили фильтр пропустить запрос как безопасный статический файл, а сервер открыл путь к консоли.
Внутри консоли они использовали встроенный планировщик, чтобы запускать свои скрипты на сервере идентификации. Так они получили командную строку на машине, где хранятся данные клиентов обоих брендов. Исследователи сменили email и пароль тестового аккаунта, вошли в приложение и получили те же токены доступа, которыми пользуется настоящее приложение.
Что удалось проверить
Полную цепочку исследователи проверили только в США в феврале 2026 года, на собственных машинах и машинах с согласия владельцев. Через команды аккаунта они открыли двери и запустили двигатель тестового автомобиля, затем заглушили его и заблокировали двери. По их словам, смена email и пароля не выбивала владельца из приложения, а уведомления можно было перенаправить на другой телефон.
Обе системы исправили примерно через два часа после сообщения о проблеме. Отдельно описана вторая атака на австралийские системы тех же брендов: там учётные данные администратора остались в коде приложения. По данным исследователей, обе атаки вместе позволяли отправлять команды на автомобили в Австралии, США и Канаде. Срок исправления австралийских систем в материале не указан.
Контекст
Ошибка связана с настройкой ForgeRock, а не с новым дефектом продукта, поэтому CVE-идентификатора и официального бюллетеня производителя нет. Производитель в руководстве по безопасности прямо советует удалять консоль или менять её пароль перед запуском. Исследователи ранее находили удалённый доступ к автомобилям Honda, Kia и Subaru, обычно взламывая веб-системы, которые стоят за приложениями.
