Security Week 2646: взлом автомобилей через сервисный портал
В начале 2026 года известный специалист по безопасности автомобильных IT-систем Сэм Карри и его коллега Шубам Ша обнаружили уязвимость в веб-приложении двух крупных автопроизводителей, которая в некоторых случаях позволяла полностью перехватить контроль над автомобилем, в том числе получать информацию о геолокации, открывать-закрывать двери и запускать двигатель. В отличие от предыдущих похожих исследований, в этот раз Сэм Карри не стал раскрывать имена автопроизводителей по их просьбе. Исследование инфраструктуры автопроизводителей началось с анализа работы соответствующих мобильных приложений, который в итоге привел к обнаружению проблем с конфигурацией решения ForgeRock для управления доступом. Изучая элементы этого решения и сопутствующие сервисы, исследователи смогли обойти ряд ограничений и в том числе обнаружили возможность доступа к одному из компонентов по дефолтному паролю admin:admin. Читать далее