Các nhà nghiên cứu đã dùng thông tin đăng nhập mặc định "admin:admin" như một mắt xích trong chuỗi lỗ hổng, cho phép họ chạy mã trên máy chủ ForgeRock đang vận hành thực tế của hai hãng xe và mở khóa từ xa các xe kết nối. Các lỗ hổng được tìm thấy từ đầu năm 2026 và công bố ngày 07/11. Chúng còn làm lộ vị trí xe và hỗ trợ lệnh điều khiển động cơ từ xa.
Bối cảnh nghiên cứu
Phát hiện này đến từ nghiên cứu bảo mật có kiểm soát, không phải một chiến dịch tội phạm đã được báo cáo. Cả hai hãng xe, đều không được nêu tên, đã khắc phục sự cố trong khoảng hai giờ sau khi nhận báo cáo và đã xoay vòng (thay mới) các thông tin xác thực bị ảnh hưởng. Hệ thống định danh của họ phục vụ nhiều khu vực, nhưng các nhà nghiên cứu chỉ kiểm thử trọn vẹn chuỗi chiếm quyền tài khoản và truy cập xe bằng tài khoản và xe tại Mỹ.
Chuỗi tấn công
Cuộc điều tra bắt đầu từ các ứng dụng Android dành cho chủ xe. Cả hai ứng dụng đều dựa vào ForgeRock Access Management để quản lý phiên đăng nhập và OpenIDM để lưu hồ sơ khách hàng. Khi lần theo một yêu cầu xác thực email, nhóm nghiên cứu được dẫn tới các dịch vụ quản trị, trong đó có Apache Felix Web Console chạy cùng OpenIDM.
Tường lửa ứng dụng web (WAF) chặn các yêu cầu trực tiếp tới những dịch vụ này. Tuy nhiên, các đường dẫn được mã hóa đặc biệt khiến yêu cầu trông như nhắm vào tệp tĩnh, trong khi Jetty, máy chủ web phía sau, lại diễn giải chúng như yêu cầu vào bảng điều khiển. Sự khác biệt trong cách xử lý URL này làm lộ giao diện quản trị ẩn, nơi tên đăng nhập và mật khẩu mặc định được ghi trong tài liệu vẫn còn hiệu lực.
Tường lửa ứng dụng web (WAF) chặn các yêu cầu trực tiếp tới những dịch vụ này. Tuy nhiên, các đường dẫn được mã hóa đặc biệt khiến yêu cầu trông như nhắm vào tệp tĩnh, trong khi Jetty, máy chủ web phía sau, lại diễn giải chúng như yêu cầu vào bảng điều khiển. Sự khác biệt trong cách xử lý URL này làm lộ giao diện quản trị ẩn, nơi tên đăng nhập và mật khẩu mặc định được ghi trong tài liệu vẫn còn hiệu lực.
Truy cập được giao diện ConfigMgr của Felix cho phép nhóm tạo một tác vụ định kỳ (scheduled task) của OpenIDM chạy mã Groovy. Họ dùng tác vụ này để cài một thành phần Java nhỏ vào trong dịch vụ đang chạy, tạo ra một điểm nhận lệnh có kiểm soát. Điều này xác nhận khả năng thực thi mã từ xa ngay bên trong tiến trình định danh trên môi trường vận hành thật, chứ không phải bên trong xe.
Từ quyền truy cập máy chủ đến điều khiển xe
Theo báo cáo kỹ thuật của các nhà nghiên cứu, quyền truy cập máy chủ làm lộ thông tin xác thực quản trị, cho phép gửi yêu cầu cục bộ đến hồ sơ khách hàng. Nhóm đã đổi email và mật khẩu của một tài khoản thử nghiệm, nhận mã xác minh gửi tới tài khoản đó và hoàn tất quy trình đăng nhập bình thường. Sau đó họ đổi phiên đăng nhập lấy các token mà API của xe chấp nhận.
Các token này cho thấy danh sách xe của tài khoản, vị trí, trạng thái và các điều khiển từ xa được hỗ trợ. Với chủ xe đứng cạnh xe thử nghiệm, nhà nghiên cứu Shah đã xác nhận mở khóa, nổ máy, tắt máy và khóa xe. Việc khôi phục email ban đầu không hủy các token mới đã được cấp.
Các token này cho thấy danh sách xe của tài khoản, vị trí, trạng thái và các điều khiển từ xa được hỗ trợ. Với chủ xe đứng cạnh xe thử nghiệm, nhà nghiên cứu Shah đã xác nhận mở khóa, nổ máy, tắt máy và khóa xe. Việc khôi phục email ban đầu không hủy các token mới đã được cấp.
Bối cảnh liên quan
Bài viết nhắc rằng các phát hiện này diễn ra sau nghiên cứu trước đây về truy cập từ xa trên xe Kia và các lỗ hổng bảo mật STARLINK của Subaru. Hướng dẫn tăng cường bảo mật cho môi trường vận hành của Ping Identity đã khuyến cáo gỡ bỏ hoặc bảo vệ Felix console và đổi thông tin đăng nhập mặc định. Hướng dẫn này cũng cảnh báo rằng cơ chế xác thực của console tách biệt với xác thực của IDM.
Vụ việc cho thấy việc chặn các URL quản trị ở tường lửa không thể thay thế việc bảo vệ chính dịch vụ phía sau, đặc biệt khi dịch vụ đó quản lý danh tính khách hàng và quyền truy cập vào xe kết nối. Chuỗi tấn công không dựa vào một lỗ hổng phần mềm hoàn toàn mới: nó là sự kết hợp của lệch pha giữa cách WAF và máy chủ phía sau hiểu đường dẫn, công cụ phát triển còn tồn tại trên môi trường vận hành và thông tin đăng nhập mặc định chưa được đổi. Một điểm đáng chú ý nữa là token đã cấp vẫn còn hiệu lực sau khi khôi phục email gốc, tức là việc “dọn dẹp” bề mặt không đồng nghĩa với việc thu hồi quyền truy cập đã bị lấy.
Vụ việc cho thấy việc chặn các URL quản trị ở tường lửa không thể thay thế việc bảo vệ chính dịch vụ phía sau, đặc biệt khi dịch vụ đó quản lý danh tính khách hàng và quyền truy cập vào xe kết nối. Chuỗi tấn công không dựa vào một lỗ hổng phần mềm hoàn toàn mới: nó là sự kết hợp của lệch pha giữa cách WAF và máy chủ phía sau hiểu đường dẫn, công cụ phát triển còn tồn tại trên môi trường vận hành và thông tin đăng nhập mặc định chưa được đổi. Một điểm đáng chú ý nữa là token đã cấp vẫn còn hiệu lực sau khi khôi phục email gốc, tức là việc “dọn dẹp” bề mặt không đồng nghĩa với việc thu hồi quyền truy cập đã bị lấy.
Sửa lần cuối:
