İki Otomobil Markasında Kritik Güvenlik Açığı: Araçların Kilidi Açıldı, Motorları Uzaktan Çalıştırıldı
Otomotiv sektöründe iki farklı markayı etkileyen ciddi bir güvenlik açığı ortaya çıkarıldı. Güvenlik araştırmacıları Sam Curry ve Shubham Shah, iki otomobil üreticisinin sunucularına varsayılan yönetici giriş bilgileriyle erişim sağladı. Araştırmacılar, güvenlik testleri kapsamında müşteri hesaplarına müdahale ederek araçların kapılarını uzaktan açmayı ve motorlarını çalıştırmayı başardı. Şirketlerin, kendilerine bildirilen güvenlik açıklarını yaklaşık iki saat içerisinde kapattığı belirtildi.
İki Otomobil Markasının Sunucularında Güvenlik Açığı Tespit Edildi
Otomobillerin mobil uygulamalar üzerinden yönetilmesini sağlayan sistemlerde önemli bir güvenlik sorunu tespit edildi.
Sam Curry ve Shubham Shah tarafından gerçekleştirilen araştırmada, iki otomobil üreticisinin müşteri hesaplarını yöneten altyapılarında güvenlik açıkları bulundu.
7 Kasım'da yayımlanan araştırmanın ayrıntılarına göre iki şirket de kullanıcıların mobil uygulamalara giriş yapmasını sağlayan ForgeRock kimlik yönetimi platformundan yararlanıyordu.
Araştırmacılar, sistemlerin yönetim altyapısında Apache Felix konsoluna erişilebildiğini belirledi. Yönetici hesabında varsayılan giriş bilgilerinin değiştirilmemiş olması, müşteri hesaplarına yönelik yetkisiz erişim riskini ortaya çıkardı.
Şirketlerin talebi üzerine güvenlik açığından etkilenen iki otomobil markasının isimleri açıklanmadı.
Araçların Kilitleri Uzaktan Açıldı, Motorları Çalıştırıldı
Araştırmacılar, tespit ettikleri güvenlik açığının etkilerini belirlemek amacıyla test hesabı üzerinde incelemeler gerçekleştirdi.
Test sırasında müşteri hesabına ait e-posta adresi ve parola bilgileri değiştirildi. Daha sonra mobil uygulamaya erişim sağlanarak araçla ilgili bilgilere ulaşıldı.
Araştırmacılar, hesabın bağlı olduğu otomobilin şasi numarası, modeli ve abonelik bilgilerini görüntüleyebildi.
Ardından test aracının kapıları uzaktan açıldı ve motoru çalıştırıldı. Denemenin tamamlanmasının ardından motor durduruldu ve kapılar yeniden kilitlendi.
Bu işlemler, güvenlik açığının yalnızca kişisel bilgileri değil, araçların uzaktan kontrol edilmesini sağlayan işlevleri de etkileyebildiğini gösterdi.
Araç Sahipleri Hesaplarına Erişmeye Devam Edebiliyordu
Araştırmada dikkat çeken bir başka ayrıntı, müşteri hesaplarında yapılan değişikliklere rağmen mevcut uygulama oturumlarının açık kalması oldu.
E-posta adresi ve parola değiştirilse bile araç sahibinin kullandığı mobil uygulama oturumu otomatik olarak sonlandırılmıyordu.
Bu durum, hesap üzerinde yetkisiz değişiklik yapılması halinde araç sahibinin sorunu hemen fark etmesini güçleştirebilecek bir güvenlik riski olarak değerlendirildi.
Araştırmacılar, tam saldırı zincirini ABD'deki hesaplar ve araçlar üzerinde test etti.
Shubham Shah ayrıca aynı markaların Avustralya sistemlerinde farklı bir güvenlik sorunu belirledi. Burada mobil uygulama kodlarına yerleştirilmiş yönetici giriş bilgilerinin kullanılabildiği tespit edildi.
Araştırma sonuçlarına göre ABD, Kanada ve Avustralya'daki araçlara uzaktan kilit açma ve motor çalıştırma komutları gönderilebiliyordu.
Güvenlik Açıkları Yaklaşık İki Saatte Kapatıldı
Araştırmacıların açıklamalarına göre iki otomobil üreticisi de güvenlik sorunlarının bildirilmesinden yaklaşık iki saat sonra gerekli müdahaleleri gerçekleştirdi.
Şirketler, tespit edilen açıkları gidererek erişime açık durumdaki yönetici giriş bilgilerini değiştirdi.
Sorunun otomobillerin kendisinden veya kullanıcıların telefonlarından değil, üreticilerin sunucu yapılandırmalarından kaynaklandığı belirtildi.
Bu nedenle araç sahiplerinin telefonlarına veya otomobillerine ayrıca bir güvenlik güncellemesi yüklemesine gerek bulunmadığı aktarıldı.
Subaru'nun Starlink Sisteminde de Benzer Sorun Bulunmuştu
Sam Curry ve Shubham Shah, daha önce Subaru'nun Starlink sisteminde de önemli bir güvenlik açığı tespit etmişti.
Söz konusu açık, araç sahiplerine ait bazı kişisel bilgilere ulaşabilen kişilerin otomobillerin kilidini açabilmesine ve motorlarını çalıştırabilmesine imkân tanıyordu.
Ayrıca araçların bir yıllık konum geçmişine erişilebilmesi de araştırmada belirlenen güvenlik riskleri arasında yer almıştı.
Subaru, kendisine yapılan bildirimin ardından güvenlik sorununu bir gün içerisinde gidermişti.
İki otomobil markasında son olarak tespit edilen açıklar ise bağlantılı araç teknolojilerinde yalnızca otomobil yazılımlarının değil, üreticilerin sunucu ve hesap yönetim sistemlerinin de güvenlik açısından kritik önem taşıdığını ortaya koydu.
