Milyonluk araçları 'admin' şifresiyle korumuşlar! Otomobil markalarında güvenlik açığı

Shubham Shah ve Sam Curry isimli güvenlik araştırmacıları, iki otomobil markasının mobil uygulamalarının giriş sistemlerini ele geçirdi. Araştırmacılar, elde ettikleri erişim sayesinde herhangi bir müşterinin hesabına sızarak bağlantılı araçların kapılarını açıp motorlarını çalıştırabildiklerini kanıtladı.

Dinle Özetle

Milyonluk araçları 'admin' şifresiyle korumuşlar! Otomobil markalarında güvenlik açığı

0:00 98

HABERİN ÖZETİ

Milyonluk araçları 'admin' şifresiyle korumuşlar! Otomobil markalarında güvenlik açığı

Okunma süresi 29 saniyeye düşürüldü.

Paylaş

Güvenlik araştırmacıları Shubham Shah ve Sam Curry, iki otomobil markasının mobil uygulamalarının giriş sistemlerindeki bir güvenlik açığını ele geçirerek müşterilerin araçlarına uzaktan erişim sağladı.

Araştırmacılar, müşterilerin hesaplarına sızarak bağlantılı araçların kapılarını açıp motorlarını çalıştırabildiklerini kanıtladı.

Güvenlik açığının temelinde, otomobil markalarının kullandığı ForgeRock kimlik doğrulama platformunun "OpenIDM" bölümündeki yerleşik yönetici konsolunun zayıf parolayla açık bırakılması yatıyordu.

Konsola erişim için kullanılan kullanıcı adı ve şifre sadece \"admin\" kelimesinden oluşuyordu.

Araştırmacılar, özel bir yöntemle, sınır sunucusu ile arka plandaki Java yazılımının aynı web adresini farklı okumasından faydalanarak konsola ulaştı.

Güvenlik açığı, durum rapor edildikten sonra yaklaşık iki saat içinde kapatıldı.

Okunma süresi 29 saniyeye düşürüldü.

Paylaş

ÖZETİ PAYLAŞ

Özeti Paylaş

Her iki otomobil markası da müşteri girişleri için ForgeRock kimlik doğrulama platformunu kullanıyordu. Sistemin "OpenIDM" adlı müşteri kayıtlarını tutan bölümünde inceleme yapan uzmanlar, Apache Felix aracıyla desteklenen yerleşik yönetici konsoluna ulaştı.

ForgeRock'un resmi güvenlik rehberinde aktifleştirilmeden önce kaldırılması veya dışarıya kapatılması gerektiği belirtilen konsol sunucularda aktif bırakılmıştı. Üstelik konsola giriş için gereken kullanıcı adı ve şifre ise "admin" kelimesinden oluşuyordu.

Açık internet erişimine kapalı olan konsola ulaşmak için araştırmacılar özel bir yöntem izledi. Siteyi koruyan sınır sunucusu ile arka plandaki Java yazılımının aynı web adresini farklı okumasından faydalanan uzmanlar, URL'ye kodlanmış eğik çizgiler ve ekstra karakterler ekledi.

Sınır sunucusu talebi zararsız bir statik dosya olarak algılarken arka plandaki sunucu isteği doğrudan konsol yoluna yönlendirdi ve varsayılan şifre sayesinde sisteme tam erişim sağlandı.

GÜVENLİK AÇIĞI 2 SAAT SONRA KAPATILDI

Testlerin ardından gerçek e-posta adresi sisteme geri yüklendi. Sadece kendi araçlarında ve izin veren sahiplerin otomobillerinde işlem yaptıklarını belirten araştırmacılar, tam saldırı zincirini Şubat 2026'da yalnızca ABD'deki hesaplar ve araçlar üzerinde test ettiklerini açıkladı.

Durumun rapor edilmesinden yaklaşık iki saat sonra her iki markanın sistemlerindeki açıklar kapatıldı.

İLGİLİ HABERLER

Renault Kasım 2026 fiyat listesi yayınlandı: İşte Renault Clio, Captur, Duster, Megane, elektrikli ve benzinli güncel fiyatları

BYD Yangwang Altior tanıtıldı: Rolls-Royce Phantom'a 5,6 metrelik devasa rakip