来自CNMO的科技消息指出, 根据相关的媒体报道, 有两名研究人员通过找到两家规模比较大的汽车制造商所使用的安卓应用系统以及身份认证平台里存在的漏洞, 得以从远程的地方去操控那些已经连接网络的汽车, 这些车分布在澳大利亚以及美国境内, 他们能够做出让车门解锁、把发动机启动起来、让车灯闪烁以及发出喇叭声音之类的一些动作事情是这么说的, 但是现在还无法得知具体是哪些车企出了这样的问题因为涉事的企业身份还没有被公开披露出来。
电动汽车
研究人员Shubham Shah, 以及另一个名叫Sam Curry的人, 他们是在二零二六年比较早的时间段里面开展的测试工作。这两个攻击链条都涉及到两家公司车企所使用的名为ForgeRock的身份平台。
在针对澳大利亚版本所进行的当中那些攻击行为方面，相关的研究者们先是利用公开的车牌号查询工具获取到车辆识别码信息, 然后再次使用这个已经得到的代码去查询内部的API接口, 最终拿到了车主的个人信息资料还有他的电子邮箱通信地址。
研究人员接着还发现了个情况, 原本那个预发布环境里头用的ForgeRock OpenIDM管理员凭据, 被直接硬编码在系统里头了, 并且在生产环境里头同样能够拿来使用, 他们借助于路径遍历这个漏洞, 成功绕过了Web应用防火墙做的过滤措施, 去调用了内部的管理员API, 只要手里头有车主的邮箱地址, 就足以接管账号并且生成身份验证令牌, 接下来就是通过移动应用软件的方式向车辆发送远程指令。
美国版本那边的攻击过程还要更复杂一点, 研究人员也同样是通过路径遍历这个方法来绕过了防火墙的防护, 然后他们又利用了路径解析来混淆视听, 从而得以进入到了Apache Felix管理控制台的后台去进行后续操作, 在借助了Felix里面的OSGi网络控制台出厂时自带的默认凭据顺利取得了管理员权限这个条件之后, 接下来他们就接着运行了内嵌形式的Groovy脚本程序, 最后这一步操作让他们成功获取了身份服务器的那样的命令行访问权限。
在随后的阶段里面, 相关的研究人员可以去查询那个本地产生的管理员API工具, 通过这种方式来查看或者是修改用户的账户里面的具体数据信息, 并且还能够使用车主身份进行登录操作, 以此来发送控制车子的相关指令。
披露出来的那个时间线里面显示, 研究人员是在二零二六年的时间段开始联系那些受到了影响的车企的, 然后, 相关的那个漏洞是在车企收到了报告以后两小时之内完成修复的。
