Standardpasswort „admin:admin“: Forscher entsperren und starten Autos zweier Hersteller aus der Ferne

Die Forscher veröffentlichten ihre Ergebnisse Ende der vergangenen Woche. Ausgangspunkt waren die Apps. Die gemeinsame Plattform besteht aus zwei Teilen: einem für die Anmeldung und einem namens OpenIDM, der die Kundendatensätze verwaltet. OpenIDM bringt eine eingebaute Administratorkonsole mit, die auf dem Werkzeug Apache Felix beruht. In seinem Härtungsleitfaden weist ForgeRock die Betreiber an, diese Konsole vor dem Produktivbetrieb zu entfernen oder abzusichern, weil sie ihr Passwort getrennt vom übrigen System speichert. Auf den betroffenen Servern war die Konsole aber noch vorhanden und nutzte das dokumentierte Standardkonto: „admin“ als Benutzername und als Passwort.

Aus dem offenen Internet war die Konsole zwar gesperrt. Die vorgeschaltete Edge-Komponente und die dahinterliegende Java-Software werteten dieselbe Webadresse aber unterschiedlich aus. Mit kodierten Schrägstrichen und zusätzlichen Zeichen brachten die Forscher die Edge-Komponente dazu, die Anfrage als harmlose statische Datei durchzulassen, während der Server darin den Pfad zur Konsole sah. Den Rest erledigte das Standardpasswort. Die genaue Methode beschreiben die Forscher in einer technischen Analyse.

In der Konsole nutzten sie einen eingebauten Scheduler, um kleine Skripte auszuführen und damit eigenen Code auf dem Identitätsserver laufen zu lassen. So erhielten sie eine Kommandozeile auf dem Rechner, auf dem die Kundendatensätze für die Anmeldungen beider Marken liegen. Diese Datensätze waren durch dieselbe Sperre geschützt wie die Konsole, ließen sich vom Server aus aber direkt erreichen. Die Forscher änderten E-Mail-Adresse und Passwort eines Zielkontos, meldeten sich über die reguläre App als dieser Kunde an und erhielten dieselben Zugriffstoken, die auch die echte App verwendet.

Mit diesen Token ließen sich über die Fahrzeugbefehle des Kontos die Türen eines Testwagens entriegeln und der Motor starten, während der Besitzer danebenstand. Anschließend stellten die Forscher den Motor wieder ab und verriegelten das Auto. Sie betonen, dass sie zwar für jedes Kundenkonto auf den betroffenen Servern eine Sitzung öffnen konnten, die Fahrzeugbefehle aber nur an Autos ausführten, die ihnen gehörten oder die sie nutzen durften. Die vollständige Kette hätten sie „nur mit US-Konten und -Fahrzeugen getestet“.

Shah veröffentlichte zudem einen zweiten Angriff auf die australischen Systeme derselben Marken. Dort führte ein anderer Weg hinein: Im Code der App waren Administrator-Zugangsdaten für den Identitätsserver hinterlegt, die eigentlich für eine Testumgebung gedacht waren. Zusammen mit dem ersten Angriff hätten sie Entriegelungs- und Motorstartbefehle an Fahrzeuge der Marken in Australien, den USA und Kanada senden können, so die Forscher. Wann die australischen Systeme abgesichert wurden, geht aus Shahs Beitrag nicht hervor.

Für Besitzer wäre der Angriff kaum zu bemerken gewesen. Die Änderung von E-Mail-Adresse und Passwort meldete sie nicht aus der App ab, und die Forscher konnten die Benachrichtigungen des Kontos auf ihr eigenes Telefon umleiten, sodass sie den Besitzer nicht erreichten. Nach dem Test stellten die Forscher die ursprüngliche E-Mail-Adresse wieder her. Ob andere den Weg vor der Schließung gefunden oder genutzt haben, lassen beide Veröffentlichungen offen.

Der Fehler lag im Betrieb von ForgeRock durch die Marken, nicht in einer neuen Lücke des Produkts. Deshalb gibt es weder eine CVE-Nummer noch einen Sicherheitshinweis des Herstellers. Konsole und Standardpasswort sind seit Jahren dokumentiert. Für Teams, die dieselbe Software einsetzen, die heute als PingIDM vertrieben wird, sind zwei Prüfungen wichtig:

• unter /system/console nach der Apache-Felix-Konsole suchen und sie entfernen oder ihr Standardpasswort ändern;
• sich nicht auf Pfadregeln an der Edge oder in der WAF verlassen, um Administrationsseiten zu verbergen, denn ein Pfad, den Edge und Server unterschiedlich lesen, kann die Regeln umgehen.

Shah und Curry dringen seit Langem in die Websysteme hinter Fahrzeug-Apps ein, meist statt in die Autos selbst. Unter anderem haben sie Fernzugriff auf Fahrzeuge von Honda, Kia und Subaru demonstriert. Eine von ihnen gemeldete Subaru-Lücke legte über den Connected-Car-Dienst des Herstellers Kundenkonten und Fahrzeuge offen. Eine breitere Untersuchung von 16 Marken im Jahr 2023 fand dieselbe Art von Web-Schwachstelle in weiten Teilen der Branche.