Identità · 2 giorni fa
Shubham Shah e Sam Curry hanno usato le credenziali predefinite delle console ForgeRock OpenIDM di due case automobilistiche per prendere il controllo di account clienti e sbloccare e avviare un’auto di prova da remoto.
Dopo aver cambiato l’indirizzo email e la password di un account di prova, i ricercatori sono entrati nell’app ufficiale come quel cliente. L’app aveva già i permessi per comandare l’auto: l’accesso all’identità del cliente è diventato accesso ai controlli del veicolo. Le due case automobilistiche hanno corretto i sistemi circa due ore dopo la segnalazione.
Una catena distinta, su un sistema australiano, sfruttava credenziali hardcoded e un passaggio MFA configurato male; non è stato chiarito se sia stata corretta. Per i servizi connessi, la console che amministra le identità rientra quindi nel perimetro di sicurezza delle funzioni autorizzate dall’app, e la correzione di un’esposizione non chiarisce lo stato dell’altra.
3 fonti che coprono questa storia
Default Admin Password Let Researchers Unlock and Start Cars
Default admin password on automaker login servers let researchers unlock and start test cars
Researchers pwn automakers’ Android apps to remotely unlock cars, honk horns
Pair of researchers chain WAF bypasses and default logins to command vehicles in Australia and the US
Default 'admin:admin' Server Password Helps Researchers Hack Two Automakers, Unlock and Start Cars
ForgeRock misconfigurations let researchers hijack accounts at two car brands and remotely unlock and start connected vehicles.
Part of the PlainSec briefing for 2026-11-11