La password admin:admin ha aperto le porte ai server di identità di due case automobilistiche. Da lì, i ricercatori Shubham Shah e Sam Curry hanno potuto prendere il controllo degli account dei clienti e inviare comandi remoti alle auto connesse: sbloccare le portiere e avviare il motore, tra le altre azioni descritte nei test.
L'accesso non dipendeva da una nuova vulnerabilità del veicolo né da una password debole scelta da un conducente. Le app Android dei marchi utilizzavano ForgeRock per gestire gli accessi e i ricercatori hanno trovato sui server OpenIDM una console di amministrazione Apache Felix esposta con le credenziali predefinite. La combinazione con tecniche per aggirare i filtri di percorso del firewall ha permesso di raggiungere la console.
I marchi non sono stati identificati. Secondo The Hacker News, i ricercatori hanno testato l'intera catena solo con account e veicoli degli Stati Uniti, nel febbraio 2026, e i due sistemi interessati sono stati corretti circa due ore dopo la segnalazione del problema. Il lavoro comprendeva anche un percorso distinto contro i sistemi australiani degli stessi marchi.
Due percorsi di attacco a ForgeRock
Shah, cofondatore di Assetnote, e Curry hanno iniziato esaminando le app mobili. Entrambi i marchi autenticavano i clienti tramite ForgeRock, una piattaforma di identità che, secondo PrivacyAffairs, Thoma Bravo ha integrato con Ping Identity nel 2023. Nell'architettura esaminata, una parte gestiva l'accesso e un'altra, OpenIDM, archiviava i record dei clienti.
La scoperta negli Stati Uniti riguardava Apache Felix, una console di amministrazione integrata in OpenIDM. La guida al rafforzamento della sicurezza di ForgeRock raccomanda di rimuovere la console o proteggerla prima di mettere il sistema in produzione: la sua password è archiviata separatamente dal resto della configurazione. Sui server dei marchi era ancora disponibile e accettava la combinazione predefinita, con admin come nome utente e password.
La console non era direttamente esposta a Internet. Tuttavia, il web application firewall (WAF) davanti al servizio e il software Java del server interpretavano in modo diverso determinati indirizzi. Inserendo barre codificate e caratteri aggiuntivi, i ricercatori sono riusciti a far trattare al WAF la richiesta come se riguardasse un innocuo file statico, mentre il server la indirizzava alla console Felix. The Register descrive il meccanismo come una combinazione di confusione dei percorsi e aggiramento dei filtri del WAF.
Una volta entrati, Shah e Curry hanno utilizzato lo scheduler di Felix per eseguire un piccolo script Groovy. L'attività ha dato loro accesso shell al server di identità. Da lì hanno potuto interrogare le API amministrative locali e leggere o modificare i dati degli account. PrivacyAffairs aggiunge che l'ambiente del server conteneva anche il nome utente e la password dell'amministratore IDM.
Il percorso australiano era diverso. Shah ha trovato credenziali amministrative OpenIDM codificate in un file JavaScript distribuito con l'app Android del produttore. Avrebbero dovuto servire per un ambiente di test, ma funzionavano anche in produzione e sulla directory reale dei clienti. In quella regione, i ricercatori hanno aggirato il WAF sfruttando vulnerabilità di path traversal e hanno potuto richiamare API interne senza dover eseguire codice da remoto, cosa invece necessaria per completare la catena statunitense.
Il punto di partenza australiano poteva essere il numero di targa di un veicolo. Secondo iTnews, i ricercatori hanno utilizzato servizi pubblici di verifica delle targhe per ottenere il numero di identificazione del veicolo (VIN), per poi effettuare interrogazioni alle API interne. Una delle risposte esposte includeva hash di password e PIN, token per le notifiche mobili, numeri di telefono e nomi completi. The Register segnala inoltre che le interrogazioni permettevano di ottenere informazioni personali e indirizzi email dei proprietari.
Da un account compromesso ai comandi dell'auto
In Australia, i dati ottenuti permettevano di prendere di mira account specifici. Shah e Curry potevano reimpostare la password di un utente, aggirare l'autenticazione a più fattori tramite una concessione OAuth basata sulla password e generare un token dell'app. Con quel token potevano inviare comandi al veicolo usando le funzioni già offerte dall'app mobile.
Nella catena statunitense, l'accesso a Felix ha fornito ai ricercatori un modo per raggiungere i record OpenIDM dall'interno del server. Hanno modificato l'indirizzo email e la password di un account bersaglio, hanno effettuato l'accesso con le nuove credenziali tramite il normale flusso dell'app e hanno ricevuto gli stessi token di accesso utilizzati dall'app legittima.
Quei token consentivano di impartire i comandi associati all'account. Su un'auto di prova, con il proprietario accanto, i ricercatori hanno sbloccato le portiere e avviato il motore; poi lo hanno spento e hanno richiuso il veicolo. The Register cita anche comandi per suonare il clacson e accendere i fari. PrivacyAffairs elenca funzioni di localizzazione e telemetria, oltre al blocco, allo sblocco e all'avvio o all'arresto del motore.
I ricercatori hanno limitato i test fisici alle auto di loro proprietà o a quelle di proprietari che avevano dato il permesso. Shah e Curry hanno affermato di poter accedere a qualsiasi account cliente sui server interessati, ma non hanno impartito comandi a veicoli altrui senza autorizzazione. Come hanno scritto nel loro articolo, «tested the complete chain only with US accounts and vehicles».
Per il proprietario, il furto dell'account poteva essere difficile da rilevare. La modifica dell'email e della password non chiudeva la sessione già aperta nell'app del cliente. Inoltre, i ricercatori potevano indirizzare gli avvisi dell'account al proprio telefono e allontanarli dal dispositivo del proprietario. PrivacyAffairs spiega che l'app accettava un identificativo del dispositivo e un token di notifica forniti dal telefono.
Per dimostrare la procedura su un account di prova, i ricercatori hanno sostituito l'indirizzo email con uno sotto il loro controllo e impostato una nuova password. Il codice di verifica a sei cifre è arrivato in quella casella di posta. L'account mostrava i veicoli associati, i relativi VIN, i modelli e gli abbonamenti, insieme ai comandi remoti disponibili per il cliente.
“Not sure how many other people would find this chain!”
— Shubham Shah, cofondatore di Assetnote
Dopo il test, i ricercatori hanno ripristinato il vero indirizzo email. Nessuna delle pubblicazioni citate dice se qualcun altro avesse già individuato o utilizzato quegli accessi, né indica quanti account o veicoli potessero essere interessati.
I sistemi statunitensi hanno opposto maggiore resistenza
I ricercatori hanno descritto le protezioni dell'operazione nordamericana come più solide di quelle australiane. Shah ha detto a iTnews che accedere ai sistemi degli Stati Uniti era «definitely a lot harder». A The Register ha spiegato che l'attacco statunitense «required a lot more work» perché il produttore aveva dedicato più tempo a proteggere gli ambienti OpenIDM di Stati Uniti, Canada ed Europa.
La differenza dipendeva, in parte, dal WAF. In Australia, il filtro era più debole e i ricercatori non hanno avuto bisogno di eseguire codice da remoto per aggirarlo. Negli Stati Uniti, hanno dovuto concatenare la confusione dei percorsi con l'accesso alla console Felix e l'esecuzione di un'attività sul server. La protezione non ha impedito l'attacco, ma ha aumentato il lavoro necessario per completare l'intrusione.
I dettagli pubblicati non rivelano i marchi. The Register racconta che alcuni appassionati hanno identificato come una Toyota l'auto parzialmente sfocata in un video dimostrativo, basandosi sulla forma dello specchietto retrovisore e sul suono dello sblocco. Hanno anche ipotizzato che i produttori potessero essere Toyota e il suo marchio di lusso Lexus. Un portavoce di Toyota Motor Corporation non ha confermato né smentito queste affermazioni.
Curry ha spiegato che lui e Shah hanno rispettato la richiesta di anonimato delle aziende perché non volevano che distogliessero risorse a causa della divulgazione. The Register riporta la sua spiegazione: «Obviously, they have asked not to be named, and while normally we would fight to actually include the company names, it's a busy time in the security world and I don't like the idea of them diverting resources because they are worried about something with this disclosure.»
Il problema era nella configurazione del server
Il problema non è stato attribuito a una nuova vulnerabilità di ForgeRock. L'uso della console e della sua password predefinita era documentato e le raccomandazioni di sicurezza del prodotto indicavano già che doveva essere rimossa o protetta prima della messa in produzione. Per questo, The Hacker News segnala che non esiste un CVE associato né un avviso di sicurezza del fornitore da seguire.
I produttori hanno corretto i sistemi interessati circa due ore dopo aver ricevuto la segnalazione, secondo The Hacker News e The Register. iTnews aggiunge che non ci sono stati né un premio né un riconoscimento tramite un programma di bug bounty. PrivacyAffairs afferma che le credenziali esposte sono state modificate. L'articolo australiano di Shah non indica una data precisa per la correzione di quei sistemi.
Per i team che amministrano questo software, The Hacker News evidenzia due verifiche specifiche: cercare la console Apache Felix in /system/console e rimuoverla o cambiare la password predefinita; e non affidarsi soltanto alle regole di percorso del WAF per nascondere le pagine amministrative. Il problema è nato proprio perché il filtro e il server interpretavano la stessa richiesta in modo diverso.
Shah e Curry avevano già indagato sui servizi connessi dei produttori di automobili. The Hacker News ricorda i loro lavori su Honda, Kia e Subaru, oltre a un'indagine del 2023 sulle debolezze web di 16 marchi. PrivacyAffairs cita un altro precedente, del novembre 2024: una vulnerabilità nel pannello amministrativo di Subaru Starlink ha permesso alla coppia di sbloccare, avviare e localizzare le auto, oltre a consultare un anno di cronologia delle posizioni; Subaru ha corretto quel problema in un giorno.
In questo caso, l'identità dei due marchi non è ancora stata confermata pubblicamente. Non è stato neppure reso noto se le aziende abbiano cercato nei propri registri indizi di accessi precedenti. Il lavoro di Shah e Curry mostra che, in questi sistemi, un account compromesso può dare accesso alle stesse funzioni remote messe a disposizione del proprietario dall'app.
Fonti: The Hacker News, The Register, iTnews, PrivacyAffairs
