İki otomobil üreticisinin bağlantılı araçlarında uzaktan kapı açma ve motor çalıştırma açığı bulundu

Güvenlik araştırmacıları, iki büyük üreticinin bulut altyapısındaki zafiyetler sayesinde birden fazla bölgedeki araçların kapılarını uzaktan açabildiklerini ve motorlarını çalıştırabildiklerini bildirdi; açıklar hızla kapatıldı.

Güvenlik araştırmacıları, 2026 başında iki otomobil üreticisinin bağlantılı araç arka uçlarına uzaktan erişim sağladıklarını bildirdi. Bu erişimle birden fazla bölgedeki araçların kapılarını açabildiler ve motorlarını çalıştırabildiler.

Bir üreticinin ABD'deki araçları uzaktan kilit açma ve motor çalıştırmaya açıktı. Diğer üreticinin Avustralya, ABD ve Kanada'daki araçları ise beklenmedik kilit açılmasına karşı savunmasızdı. Açıklar ayrıca araçların konumunu, kilometre, yakıt ve menzil bilgilerini, kapı durumlarını ve müşterilerin kişisel verilerini de açığa çıkardı.

Sorunların kökünde, şirketlerin mobil uygulamalarının kullandığı sunucu API'lerindeki zayıf uygulamalar ve güvenlik eksikleri vardı. Korunmasız yönetici uç noktaları, istemci JavaScript kodunda gömülü kimlik bilgileri ve araştırmacıların kullanıcı şifrelerini sıfırlamasına izin veren korumasız bir yol bunların arasındaydı. Bir JavaScript paketinde yer alan sabit kodlu yönetici kimlik bilgileriyle erişim belirteçleri üretilip kullanıcı verilerine ulaşılabildi. İkinci şirketin Avustralya ortamında ise kullanıcılar çok faktörlü doğrulamayı tamamen atlayabiliyordu.

Araştırmacılar açıkların hızla giderildiğini söyledi. Etkilenen iki üretici de kimlik doğrulama ve yetkilendirme hizmetleri için ForgeRock'un altyapısını kullanıyor.