Pesquisadores de segurança Sam Cury e Shubham Shah divulgaram, no sábado, dia 7, um relatório técnico que detalha uma vulnerabilidade que permitia destravar portas e dar partida em carros conectados à distância; a falha afetava aplicativos móveis de duas grandes montadoras que utilizam a plataforma de identidade ForgeRock integrada à Ping Identity; o problema decorreu de um painel de controle exposto na internet com credenciais padrão "admin" e de um bypass de firewall via URL codificada; o risco dava acesso total às contas dos motoristas e possibilitava comandos remotos nos veículos.

Plataforma comprometida

Segundo o relatório, ambas as montadoras dependiam da solução de identidade da ForgeRock para gerenciar credenciais de usuários; o painel de administração permanecia ativo e acessível publicamente, permitindo que qualquer pessoa com conhecimento da URL tentasse autenticação usando as credenciais padrão.

Método de exploração

Cury e Shah contornaram o firewall de aplicação web inserindo caracteres codificados e barras na URL, fazendo o sistema interpretar o pedido como um arquivo inofensivo e, simultaneamente, redirecionar para a área de administração; a partir daí, executaram código remoto nos servidores de produção da ForgeRock, criaram sessões válidas para contas de clientes e alteraram e‑mail e senha de uma conta de teste.

Comandos enviados ao veículo

Com tokens de acesso válidos gerados no aplicativo, os pesquisadores enviaram instruções que destravaram as portas e acionaram a partida do motor nos veículos de teste nos Estados Unidos e na Austrália, conforme descrito no relatório técnico.