Sikkerhetsforskere låste opp biler eksternt med et latterlig enkelt passord: Dørene åpnet og motorene startet

Angrepet begynte ikke med avansert hacking, men med en innloggingsboks de fleste utviklere glemmer å stenge: brukernavnet «admin» og passordet «admin». Den kombinasjonen ga Shubham Shah og Sam Curry full kontroll over identitetsserverne som håndterer kundepåloggingen hos to store bilprodusenter, og dermed samme tilgang til bilene som eieren selv har gjennom appen.

Detaljene ble publisert 7. november på Sam Currys blogg etter at begge bilmerkene hadde tettet hullet. Produsentene ville ikke navngis, og omtales bare som Automaker #1 og Automaker #2 i rapporten.

Full fjernkontroll over bilen

Da forskerne først var inne på en kundes profil, kunne de gjøre alt den offisielle bil-appen kan. Det omfattet å låse opp og låse dørene, starte og stoppe motoren, tute med hornet, blinke med nødblinket og følge bilens posisjon i sanntid. I tillegg kunne de hente ut kundens navn, telefonnummer og telemetridata som kilometerstand, dekktrykk og rekkevidde.

Det tyngste grepet var kontoovertakelsen. De kunne søke opp hvilken som helst kunde, bytte e-postadressen og passordet, logge inn som vedkommende og hente et token som er identisk med det den offisielle mobilappen bruker. En kapret push-token sørget for at varsler om innlogginger og kommandoer aldri nådde eierens telefon.

Les også: Tysk campingvogn brettes inn under kjøring: Reduserer elbilens forbruk med 38 prosent

Standardpassordet som sto igjen fra fabrikk

Inngangen var en administrasjonskonsoll som aldri skulle vært tilgjengelig fra internett. Begge produsentene brukte identitetsplattformen ForgeRock OpenIDM, og i den ligger Apache Felix Web Console på adressen `/system/console`. Konsollet godtok fortsatt det dokumenterte fabrikkpassordet `admin:admin` over vanlig HTTP Basic-pålogging.

En brannmur foran serveren skulle egentlig blokkere tilgangen, men Shah og Curry fant et avvik mellom hvordan brannmuren og backend-tjenesten tolket samme URL. Ved å kombinere skrå strek-koding og semikolon-parametere lurte de brannmuren til å tro at forespørselen gjaldt en statisk fil, mens serveren bak sendte den rett til administrasjonskonsollet.

Derfra brukte de konsollets planleggingsfunksjon til å kjøre et Groovy-skript som ga dem full kjøretilgang på identitetsserveren. Vi kunne lage en gyldig økt for enhver kundekonto som ble håndtert av de påvirkede systemene, skriver Curry på bloggen sin. Hadde kontoen en tilkoblet bil, ga økten samme fjerntilgang som eierens egen app.

Begge merkene tettet hullet på to timer

Etter at forskerne varslet produsentene, rettet begge feilen cirka to timer senere og byttet ut de eksponerte innloggingene, opplyser Shah og Curry i rapporten. Det er ikke tildelt noe CVE-nummer, og ingen oppdatering som kundene selv må installere.

Les også: 15 nye elbiler lanseres i 2027: Fra billig bybil til ladbar Porsche, slik ser listen ut

Det er heller ikke første gang de to har funnet den typen svakhet. I 2024 avdekket Shah og Curry et lignende hull i Subarus Starlink-tjeneste, som Subaru tettet innen et døgn.

Som bil-app-bruker bør du bruke et unikt passord på bil-appen og slå på totrinnsbekreftelse der merket tilbyr det. Nasjonal sikkerhetsmyndighet anbefaler sterke og unike passord på alle tjenester du bruker fra mobilen, kombinert med ekstra autentisering på kontoer som styrer fysiske enheter.

Les også: Meta ber eiere oppdatere nå: Fem AI-brille-modeller kan bli farlig varme av fuktighet