Исследователи безопасности Сэм Карри и Шубхам Шах раскрыли цепочку уязвимостей в системах двух неназванных автопроизводителей. Она позволяла создать действующую сессию для аккаунта клиента и получить доступ к функциям подключённого автомобиля: местоположению и телеметрии, дверным замкам, дистанционному запуску и остановке двигателя.
Уязвимость нашли в первой половине 2026 года, но технический разбор опубликовали 7 ноября. Автопроизводители попросили не раскрывать их названия. Исследователи сообщили компаниям о проблеме заранее, после чего те закрыли её примерно за два часа и заменили затронутые учётные данные.
Карри и Шах начали с Android-приложений производителей: разобрали их и проследили, к каким серверам приложения обращаются при входе и передаче команд машине. Оба приложения использовали ForgeRock — платформу управления учётными записями и аутентификацией клиентов.
Читайте также
Административные адреса платформы закрывал веб-фильтр, однако защита и расположенный за ней сервер по-разному разбирали специально составленный путь. Запрос выглядел для фильтра как обращение к обычному статическому файлу, но на сервере открывал административную консоль Apache Felix.
У консоли сохранились стандартные учётные данные. Получив доступ, исследователи настроили выполнение собственного кода на рабочих серверах, нашли данные администратора ForgeRock и смогли создавать пользовательские сессии. Такая сессия давала те же возможности, что и официальное приложение владельца; конкретный набор команд зависел от модели автомобиля и подписки на подключённые сервисы.
На тестовом аккаунте исследователи изменили электронную почту и пароль, вошли через штатное приложение, открыли и запустили автомобиль рядом с владельцем, а затем заглушили и заперли его. Существующая сессия владельца при смене данных не завершилась, поэтому появление дополнительного доступа можно было сразу не заметить.
Затронутые системы обслуживали несколько регионов, но полную цепочку Карри и Шах проверили только на аккаунтах и автомобилях в США. Они не назвали число потенциально доступных аккаунтов и не сообщили о случаях использования уязвимости посторонними.
Владельцам автомобилей не требуется устанавливать обновление: проблема находилась на серверах производителей и была устранена за несколько месяцев до публикации разбора. Однако из-за скрытых названий брендов владельцы не могут проверить, относилась ли уязвимость к их машине. Публикация показывает более общий риск подключённых автомобилей: управление замками и двигателем зависит не только от защиты самой машины, но и от безопасности облачной учётной записи производителя.