Como Funciona a Falha de Segurança
Duas grandes montadoras de veículos corrigiram uma vulnerabilidade crítica nos aplicativos de celular dos clientes. A falha permitia que os cibersegurança acessassem contas dos motoristas e realizassem comandos remotos nos carros conectados, como destravar as portas e ligar o motor.
Detalhes do Ataque
Os especialistas em cibersegurança Sam Cury e Shubham Shah publicaram os detalhes do ataque em um relatório técnico. Eles confirmaram a eficácia do método em testes práticos realizados apenas em veículos próprios ou de proprietários que autorizaram a ação nos Estados Unidos e na Austrália.
Como o Ataque Funcionou
A falha se concentrava na plataforma de identidade ForgeRock, que usavam atualmente as duas montadoras. Os pesquisadores identificaram que o painel de controle do sistema de dados continuava ativo e acessível na internet. Além disso, a página mantinha a senha padrão de fábrica: a palavra “admin” no usuário e na senha.
O painel era protegido por um firewall de aplicação web (WAF), um sistema projetado para barrar acessos suspeitos. No entanto, Cury e Shah contornaram o mecanismo ao inserir caracteres codificados e barras na URL do navegador. O truque fez o sistema liberar o acesso por achar que se tratava de um arquivo inofensivo do site, enquanto o servidor interpretava o comando como um atalho direto para a área secreta de administração.
Impacto e Consequências
Alcançamos a execução remota de código nos servidores de produção da ForgeRock que lidavam com os logins dos clientes de duas montadoras. A partir desses servidores, podíamos criar uma sessão válida para qualquer conta de cliente.
Os pesquisadores usaram o agendador de tarefas do sistema para executar códigos próprios no servidor da identidade. Esse procedimento abriu um canal direto com o banco de dados que guardava os registros de todos os clientes.
Com acesso interno, Cury e Shah alteraram o e-mail e a senha de uma conta de teste e efetuaram o login no aplicativo comum para gerar os tokens de acesso válidos. Em seguida, eles enviaram ordens de comando diretamente para o veículo associado.
Demonstração de Testes Práticos
Testamos a cadeia completa apenas com contas e veículos nos Estados Unidos. Para contas com serviços conectados ativos, a cadeia dos deu o mesmo acesso remoto do proprietário: localização do veículo, telemetria, dados da conta e comandos suportados, incluindo destravamento de portas e partida remota do motor.
Conclusão e Correções
Em uma demonstração paralela voltada ao sistema australiano, Shah encontrou credenciais administrativas de testes expostas no código do aplicativo móvel. Assim que combinou os métodos de ataque, a dupla confirmou a capacidade de envio de comandos remotos para veículos das duas marcas espalhados por países como Austrália, Estados Unidos e Canadá.
A invasão ocorria de forma silenciosa para o motorista. A troca de e-mail e senha no banco de dados não derrubava a sessão ativa do celular do dono do carro, e os alertas de segurança podiam ser redirecionados para os dispositivos dos pesquisadores.
As duas montadoras, cujos nomes não foram divulgados, receberam um alerta da equipe de cibersegurança em fevereiro e aplicaram as correções nos servidores cerca de duas horas após o aviso. A documentação técnica do sistema ForgeRock orienta os administradores a removerem o console de gerenciamento ou alterarem a senha padrão antes de colocarem a plataforma em funcionamento comercial.
Conclusão
Com ambos os relatórios combinados, podíamos enviar comandos remotos como destravar as portas e ligar os motores de qualquer veículo da montadora na Austrália, nos Estados Unidos e no Canadá.
Recomendações
A documentação técnica do sistema ForgeRock orienta os administradores a removerem o console de gerenciamento ou alterarem a senha padrão antes de colocarem a plataforma em funcionamento comercial. As duas montadoras já aplicaram as correções nos servidores após receberem o aviso da equipe de cibersegurança.
Conclusão Final
A falha de segurança revelada pelos pesquisadores de cibersegurança é um alerta importante para as empresas de automóveis que utilizam plataformas de identidade como a ForgeRock. A implementação de medidas de segurança robustas e a atualização constante dos sistemas são fundamentais para prevenir ataques semelhantes no futuro.
Comentários