Исследователи безопасности Шубхам Шах и Сэм Карри выявили уязвимости в системах подключенных автомобилей двух крупных автопроизводителей. Ошибки позволяли злоумышленникам удаленно открывать двери и запускать двигатели машин.
Проблемы возникли из-за некорректной реализации сервисов аутентификации ForgeRock. В коде мобильных приложений были обнаружены жестко закодированные административные учетные данные и открытые API, доступные из интернета.
Помимо управления автомобилями, уязвимости раскрывали персональные данные владельцев, включая адреса электронной почты, номера телефонов и местоположение транспортных средств. В ряде случаев исследователи обходили многофакторную аутентификацию.
Затронутые автомобили находились в США, Канаде и Австралии. Названия компаний не раскрываются, однако визуальные данные указывают на то, что одной из моделей мог быть внедорожник Toyota RAV4.
Эксперты продемонстрировали взлом через декомпиляцию Android-приложений и манипуляции с API-запросами. На текущий момент оба автопроизводителя уже устранили выявленные бреши в защите.
