Nghiên cứu sinh khai thác lỗ hổng ứng dụng Android để mở khóa xe từ xa
"Researchers demonstrated remote control of vehicles from two automakers by exploiting vulnerabilities in their Android apps and the underlying ForgeRock identity platform. Exploits involved bypassing WAFs via path traversal, leveraging default credentials, and ultimately gaining the ability to send commands like unlocking doors and sounding horns. Patches were applied within two hours of reporting."
Lỗ hổng cho phép điều khiển xe từ xa trái phép, gây nguy hiểm cho người dùng và tiềm ẩn rủi ro về an toàn giao thông.
Sự cố này có thể gây thiệt hại uy tín cho các nhà sản xuất ô tô và ảnh hưởng đến niềm tin của khách hàng vào các dịch vụ kết nối.
Hai nhà nghiên cứu đã khai thác lỗ hổng trong ứng dụng Android của các nhà sản xuất ô tô để điều khiển xe từ xa, bao gồm cả việc mở khóa cửa và bật còi. Sự việc xảy ra với xe ở Úc và Mỹ.
Việc này cho thấy các ứng dụng ô tô có thể trở thành điểm yếu bảo mật. Các doanh nghiệp Việt Nam cung cấp dịch vụ liên quan đến ô tô kết nối cần đặc biệt lưu ý.
Nhà nghiên cứu Shubham Shah và Sam Curry tìm thấy lỗ hổng trong nền tảng quản lý danh tính ForgeRock mà cả hai nhà sản xuất ô tô đều sử dụng. Họ sử dụng các kỹ thuật như path traversal để vượt qua tường lửa (WAF) và khai thác default credentials (tài khoản mặc định). Tại Úc, họ tìm thấy VIN (số nhận dạng xe) thông qua các công cụ tìm kiếm biển số công khai, sau đó truy vấn APIs nội bộ để lấy thông tin cá nhân và email của chủ xe. Họ cũng tìm thấy tài khoản quản trị mặc định hoạt động trên môi trường production.
Ở Mỹ, việc khai thác phức tạp hơn, đòi hỏi kỹ thuật path confusion để truy cập vào Apache Felix admin console. Sau đó, họ sử dụng thông tin đăng nhập mặc định để có quyền quản trị và thực thi Groovy script để truy cập shell của máy chủ. Từ đó, họ có thể xem hoặc sửa đổi dữ liệu tài khoản người dùng và điều khiển xe.
Các nhà sản xuất đã vá lỗ hổng trong vòng hai giờ sau khi nhận được báo cáo. Một số người dùng trên mạng đã suy đoán rằng Toyota và Lexus là hai nhà sản xuất bị ảnh hưởng, nhưng Toyota chưa xác nhận thông tin này.
Câu hỏi thường gặp
Các nhà nghiên cứu đã làm gì?
Họ khai thác lỗ hổng trong ứng dụng Android của các nhà sản xuất ô tô để điều khiển xe từ xa, bao gồm mở khóa cửa và bật còi.
Lỗ hổng nằm ở đâu?
Lỗ hổng nằm trong nền tảng quản lý danh tính ForgeRock mà các nhà sản xuất ô tô sử dụng, kết hợp với các kỹ thuật tấn công như path traversal và khai thác tài khoản mặc định.
Các nhà sản xuất đã phản ứng như thế nào?
Họ đã vá lỗ hổng trong vòng hai giờ sau khi nhận được báo cáo từ các nhà nghiên cứu.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này cho thấy tầm quan trọng của việc bảo mật ứng dụng di động trong ngành công nghiệp ô tô. Các doanh nghiệp Việt Nam cung cấp dịch vụ kết nối xe cần kiểm tra kỹ lưỡng API security và quản lý quyền truy cập. Điều đáng chú ý là các nhà sản xuất đã phản ứng nhanh chóng với báo cáo, cho thấy sự quan tâm đến vấn đề bảo mật.