החוקרים Sam Curry ו-Shubham Shah פרסמו כיצד מסוף ניהול חשוף עם סיסמת ברירת מחדל איפשר להם להשתלט על חשבונות לקוח באפליקציות של שתי יצרניות רכב, ולשלוט מרחוק ברכב.
הפרטים
שתי האפליקציות נשענו על ForgeRock (כיום חלק מ-Ping Identity) להתחברות. מסוף הניהול של OpenIDM נותר חשוף עם admin/admin. בעזרתו שינו החוקרים אימייל וסיסמה של חשבון בדיקה, התחברו דרך האפליקציה הרגילה, פתחו דלתות והניעו רכב בבעלותם. ההתקפה המלאה נבדקה בארה"ב בלבד, על רכבים של החוקרים או של בעלים שהסכימו.
הדיווח מציין שמדובר בהגדרה שגויה ולא בפגם במוצר, ולכן אין CVE. המערכות בארה"ב תוקנו כשעתיים אחרי הדיווח. באוסטרליה היה פגם נפרד (פרטי ניהול בקוד האפליקציה) ולא פורסם מועד תיקון. שמות היצרניות לא פורסמו, ואין מידע אם מישהו אחר ניצל את הנתיב.
נקודות לשים לב
- אם אתה מפעיל PingIDM/OpenIDM, ודא שכלי הפיתוח והמסוף אינם חשופים לאינטרנט ושאין סיסמאות ברירת מחדל; ראה את מדריך ההקשחה של היצרן.
- סרוק את הנכסים החשופים שלך לממשקי ניהול, כולל רכיבי Apache Felix.
- אל תשאיר פרטי גישה של סביבות בדיקה בקוד אפליקציות.
- לא נכון להסיק שהפגם נוגע לכל אפליקציית רכב או לכל פריסת ForgeRock; מדובר בהגדרה בפריסות ספציפיות.
מקורות: The Hacker News · Sam Curry
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
