محققان برنامه‌های اندرویدی خودروسازان را برای باز کردن قفل ماشین‌ها از راه دور، بوق زدن، نصب می‌کنند

محققان امنیتی از نقص‌های اپلیکیشن‌های اندروید برای دسترسی از راه دور به خودروهای متصل دو خودروساز بزرگ استفاده کردند و به آن‌ها اجازه راه‌اندازی موتورها، چراغ‌های جلوی فلاش و بوق صدا را می‌دادند.

شوبهام شاه، یکی از بنیانگذاران Assetnote و محقق سام کوری در اوایل سال جاری روی این اکسپلویت ها کار کردند. آنها با دستکاری برنامه‌های اندرویدی خودروها، مسیرهای بهره‌برداری را برای صدور فرمان‌های از راه دور به خودروها در استرالیا و ایالات متحده ابداع کردند.

این زوج وبلاگ‌های جداگانه‌ای منتشر کردند که جنبه‌های مختلف تحقیق را پوشش می‌داد. شاه گفت که حمله ایالات متحده "به کار بسیار بیشتری نیاز داشت" زیرا این خودروساز "زمان بسیار بیشتری را صرف تامین امنیت محیط های OpenIDM ایالات متحده، کانادا و اروپا کرد."

هر دو زنجیره اکسپلویت حول نقاط ضعف پلتفرم هویت ForgeRock که توسط هر دو خودروساز متکی است، متمرکز شده‌اند، هویت آنها توسط محققان ناشناس باقی مانده است، که قبلا نقص‌هایی مانند هیوندای، کیا، سوبارو و بسیاری دیگر را برجسته کرده‌اند.

در نسخه استرالیایی این اپلیکیشن، محققان ابتدا یک شماره شناسایی خودرو (VIN) را با استفاده از بررسی‌کننده‌های پلاک عمومی پیدا کردند و از آن‌ها در پرس‌وجوها برای APIهای داخلی استفاده کردند که اطلاعات شخصی و آدرس‌های ایمیل مالک را ارائه می‌کردند.

آن‌ها همچنین اعتبارنامه‌های مدیریت کدگذاری‌شده ForgeRock OpenIDM را پیدا کردند که برای محیط صحنه‌سازی در نظر گرفته شده بود، اما در تولید نیز کار می‌کردند. پس از دور زدن فیلترهای سنگین WAF با بهره‌برداری از نقص‌های پیمایش مسیر، آن‌ها توانستند APIهای مدیریت داخلی را فراخوانی کنند و حساب‌های هدف را تنها با استفاده از آدرس‌های ایمیل خود تصاحب کنند.

این به آن‌ها اجازه می‌دهد تا توکن‌های احراز هویت را که می‌توانند برای ارسال دستورات دلخواه به خودروهای آسیب‌دیده از طریق برنامه تلفن همراه صادر کنند.

صدور دستورات در نسخه ایالات متحده همچنین مستلزم دور زدن فیلتر WAF از طریق پیمایش مسیر بود، البته با یک تکنیک پیچیده تر: بهره برداری از سردرگمی مسیر برای رسیدن به کنسول مدیریت Apache Felix.

محققان از اعتبار پیش فرض کارخانه در کنسول وب OSGi Felix برای به دست آوردن امتیازات مدیریت استفاده کردند. آنها سپس از مدیر پیکربندی Felix برای برنامه ریزی کاری استفاده کردند که یک اسکریپت Groovy درون خطی را اجرا می کرد و به آنها دسترسی پوسته ای به سرورهای هویت می داد.

محققان سپس نقاط پایانی API ادمین محلی را جویا شدند و به آن‌ها اجازه دادند داده‌های حساب کاربری را مشاهده یا تغییر دهند. از آنجا، آن‌ها وارد حساب‌های مالکان خودرو شدند و توانایی صدور فرمان‌های مشابهی را که در نسخه استرالیایی نشان داده شده بود، به دست آوردند.

بر اساس جدول زمانی افشای کری، او و شاه در «اوایل سال 2026» به خودروسازان آسیب‌دیده نزدیک شدند و این اکسپلویت‌ها ظرف دو ساعت پس از دریافت گزارش اصلاح شدند.

اگرچه خودروسازان خواستند نامشان فاش نشود، طولی نکشید که برخی از بنزین‌هدها با استناد به شکل آینه بال و صدای باز کردن قفل آن، حدس زدند که خودروی نیمه تار در ویدئوی نمایشی شاه، یک تویوتا است.

ناظران ادعا کردند که دو خودروساز مورد بحث احتمالا تویوتا و برند لوکس آن لکسوس هستند. سخنگوی شرکت تویوتا موتور در پاسخ به این سوال که آیا این ادعاها درست است یا خیر، آنها را تایید و یا تکذیب نکرد.

کری گفت که او و شاه تصمیم گرفتند به دلیل نگرانی از حجم کاری فعلی اینفوسکسرها، به درخواست‌های سازندگان مبنی بر ناشناس ماندن ناشناس بمانند.

وی گفت: بدیهی است که آنها خواسته اند نامشان فاش نشود و در حالی که به طور معمول ما برای درج نام شرکت ها می جنگیم، اما زمان شلوغی در دنیای امنیت است و من از این ایده که آنها منابع را منحرف می کنند دوست ندارم زیرا آنها نگران چیزی با این افشا هستند. ®