Siber güvenlik araştırmacıları Shubham Shah ve Sam Curry, iki otomobil üreticisinin müşteri hesaplarını yöneten ForgeRock adlı kimlik yönetimi altyapısını incelediklerini açıkladı. Her iki üreticinin mobil uygulamalarına giriş bu altyapı üzerinden yapılıyordu. Araştırmacılar, marka adlarını şirketlerin talebi üzerine açıklamadı.
Yönetim Panelindeki Açıklar
İncelenen sistemlerde yönetim paneline doğrudan erişim güvenlik duvarıyla engelleniyordu. Ancak güvenlik duvarı ile sunucunun aynı web adresini farklı yorumlaması, araştırmacıların panele ulaşmasına olanak sağladı. Panel, hem kullanıcı adı hem de parola olarak “admin” bilgisini kabul ediyordu. Platformun sahibi Ping Identity, güvenlik kılavuzunda bu panelin canlı sistemden kaldırılmasını veya erişim bilgilerinin değiştirilmesini öneriyor.
İzinli Test Hesabına Erişim
Araştırmacılar, sunucuya eriştikten sonra izinli bir test hesabının e-posta adresi ve şifresini değiştirerek mobil uygulama üzerinden yeni bir oturum açtı. Böylece aracın konumuna ve uzaktan kumanda işlevlerine erişim sağladılar. Hesap bilgilerindeki değişiklik, araç sahibinin telefonundaki mevcut oturumu kapatmadı. Shah, aracın yanında bulunarak kapıları açtı ve motoru çalıştırdı.
Avustralya'daki Ayrı Açık
Shah’ın ayrı raporuna göre, Avustralya’daki sistemde test ortamı için hazırlanmış yönetici bilgilerinin bir JavaScript dosyasına gömülü olduğu ve bu bilgilerin müşteri sisteminde de çalıştığı belirlendi. Araştırmacılar, bu yöntemle izinli bir test aracının kapı kilidini açmayı başardı. Shah, iki çalışmanın ABD, Kanada ve Avustralya’daki bağlı araçlara uzaktan komut gönderilebildiğini gösterdiğini vurguladı.
Açığın Kapatılması
Curry ve Shah, Şubat 2026’da ABD’de yalnızca kendi onay veren araç sahiplerinin otomobillerinde tam saldırıyı test ettiler. İki üretici, açığı bildirdikten sonra aynı gün giderdi ve etkilenen erişim bilgilerini yeniledi. Avustralya’daki açığın ne zaman kapatıldığı ve bu yöntemlerin araştırmacılar dışında kullanılıp kullanılmadığı kamuya açık raporlarda yer almadı.