Onderzoekers ontdekten dat een standaard admin-wachtwoord toegang gaf tot servers van twee autofabrikanten, waarmee ze auto’s konden ontgrendelen en starten.
Twee beveiligingsonderzoekers hebben een kwetsbaarheid ontdekt in de inlogsysteemservers van twee autofabrikanten, waardoor zij volledige controle konden krijgen over klantenaccounts. Dit stelde hen in staat om bij verbonden voertuigen de deuren te ontgrendelen en de motor te starten. De getroffen mobiele apps maakten gebruik van ForgeRock, een identiteitsplatform dat onderdeel is van Ping Identity. Op de servers achter deze apps vonden de onderzoekers een beheerdersconsole die nog steeds het standaardwachtwoord gebruikte.
De onderzoekers Shubham Shah en Sam Curry testten de aanval in februari 2026 uitsluitend op hun eigen en met toestemming van eigenaren in de Verenigde Staten. Na melding werd het probleem binnen ongeveer twee uur verholpen. Beide merken gebruikten dezelfde identiteitsplatformoplossing, die bestaat uit een logincomponent en OpenIDM, een onderdeel waarin klantgegevens worden opgeslagen. OpenIDM bevat een ingebouwde beheerdersconsole die via Apache Felix wordt aangedreven. Volgens de hardening-richtlijnen van ForgeRock moet deze console verwijderd of beveiligd worden voor livegang, omdat het wachtwoord apart wordt opgeslagen. In dit geval was de console nog aanwezig en gebruikte het de standaard gebruikersnaam en wachtwoord 'admin'.
Hoewel de console niet direct vanaf het internet toegankelijk was, konden de onderzoekers via een omweg in de webserver en Java-software de console toch benaderen door gebruik te maken van gecodeerde schuine strepen en extra tekens. Hierdoor werd het verzoek door de randserver als een onschadelijk statisch bestand gezien, terwijl de backend het als pad naar de console interpreteerde. Met het standaardwachtwoord kregen zij toegang.
Eenmaal binnen gebruikten zij een ingebouwde scheduler om kleine scripts uit te voeren op de identiteitsserver, waarmee zij een command prompt kregen op de machine met klantgegevens. Vanuit deze positie konden zij het e-mailadres en wachtwoord van een doelaccount wijzigen, waarna ze via de normale app konden inloggen en dezelfde toegangstokens ontvingen als de echte gebruiker. Deze tokens gaven toegang tot voertuigfuncties, waarmee zij deuren konden ontgrendelen en de motor konden starten en stoppen van een testauto, terwijl de eigenaar aanwezig was.
De onderzoekers benadrukten dat zij alleen voertuigen gebruikten waarvoor zij toestemming hadden en dat zij de echte e-mailadressen na tests herstelden. Zij meldden dat het mogelijk was om sessies te openen voor elk klantaccount op de getroffen servers, maar voerden voertuigcommando’s alleen uit op eigen of geautoriseerde voertuigen. Daarnaast publiceerde Shubham Shah een tweede aanval op de Australische systemen van dezelfde merken, waarbij admin-credentials in de app-code waren achtergelaten voor testdoeleinden. Hiermee konden zij ook voertuigen in Australië, de Verenigde Staten en Canada bedienen, hoewel de fixdatum voor Australië niet bekend is. De volledige technische analyse van de aanval is te vinden in de publicatie van de onderzoekers en de Australische keten wordt toegelicht in een apart rapport.
De kwetsbaarheid lag in de wijze waarop de autofabrikanten ForgeRock implementeerden en betreft geen nieuw productfout, waardoor er geen CVE-nummer is toegekend.
