Исследователь безопасности Шубхам Шах 7 ноября опубликовал разбор атаки на подключённые автомобили неназванного производителя в Австралии. По его словам, цепочка позволяла перейти от государственного номера машины к захвату аккаунта владельца и дистанционному открытию дверей. Проверки проводились только на собственных автомобилях или с разрешения владельцев
Отправной точкой стали доступные из интернета служебные инструменты. В загружаемых браузером сценариях исследователи нашли ключи программного интерфейса и административные учётные данные системы управления пользователями. Последние подходили не только для тестовой, но и для рабочей среды. Это открывало доступ к персональным данным, включая имена, номера телефонов и хеши паролей
Затем Шах и Сэм Карри обошли фильтрацию запросов межсетевым экраном веб-приложений, получили возможность менять пароль пользователя и нашли способ пропустить многофакторную проверку. Полученный токен давал доступ к штатным командам мобильного приложения. Открытие дверей было проверено на автомобиле; речь идёт о возможностях подключённого сервиса, а не о любом автомобиле марки независимо от оснащения
В отдельном совместном разборе авторы описали более сложную цепочку для двух неназванных автопроизводителей. Там доступ к серверам учётных записей позволял получать местоположение машин и выполнять поддерживаемые команды, включая запуск двигателя. Полную цепочку проверили только на аккаунтах и автомобилях в США, хотя системы обслуживали несколько регионов. По словам авторов, обе компании устранили эту уязвимость примерно за два часа после уведомления и сменили затронутые учётные данные. Статус исправления австралийской цепочки в публикации Шаха прямо не указан
Как владельцу понять, относится ли раскрытая проблема к его машине, если марки не названы? Авторы совместного разбора объясняют анонимность просьбой компаний и желанием не отвлекать их специалистов. Для оценки риска владельцами всё же нужны понятные сведения о затронутых сервисах и состоянии исправлений
Первоисточник — Shubham Shah
Сообщите редакции. Существенные исправления мы отмечаем в материале