Account clienti trasformati in comandi per l’auto connessa
Shubham Shah e Sam Curry hanno usato le credenziali predefinite delle console ForgeRock OpenIDM di due case automobilistiche per prendere il controllo di account clienti e sbloccare e avviare un’auto di prova da remoto.
Dopo aver cambiato l’indirizzo email e la password di un account di prova, i ricercatori sono entrati nell’app ufficiale come quel cliente. L’app aveva già i permessi per comandare l’auto: l’accesso all’identità del cliente è diventato accesso ai controlli del veicolo. Le due case automobilistiche hanno corretto i sistemi circa due ore dopo la segnalazione.
Una catena distinta, su un sistema australiano, sfruttava credenziali hardcoded e un passaggio MFA configurato male; non è stato chiarito se sia stata corretta. Per i servizi connessi, la console che amministra le identità rientra quindi nel perimetro di sicurezza delle funzioni autorizzate dall’app, e la correzione di un’esposizione non chiarisce lo stato dell’altra.