Dos investigadores de seguridad analizaron los sistemas de inicio de sesión que usan las aplicaciones móviles de dos marcas de automóviles y hallaron una configuración insegura en el servidor de identidad que permitió tomar el control de cuentas de clientes. En pruebas controladas y con consentimiento de los propietarios, los investigadores consiguieron enviar comandos para desbloquear puertas y arrancar el motor de coches conectados.
Qué fallo explotaron y por qué importa
Las aplicaciones afectadas autenticaban usuarios mediante la plataforma ForgeRock (actualmente parte de Ping Identity). En el componente que almacena los registros de clientes —conocido como OpenIDM en la arquitectura usada— había disponible una consola administrativa integrada que seguía usando las credenciales por defecto (usuario y contraseña «admin»).
ForgeRock documenta y advierte sobre esta consola: su guía de endurecimiento recomienda eliminarla o protegerla antes de poner sistemas en producción porque mantiene su propia contraseña y, si no se cambia, supone un acceso administrativo directo.
Cómo consiguieron el acceso
Los investigadores combinaron dos factores. Primero, la consola no estaba accesible desde internet abierto, pero el borde (un componente que filtra y encamina tráfico) y el servidor Java interpretaban la misma URL de forma distinta. Mediante variaciones en la ruta —incluir caracteres y barras codificadas— hicieron que el borde tratara la petición como un archivo estático mientras que el servidor la resolvía hacia la consola administrativa. Con las credenciales por defecto pudieron iniciar sesión.
Dentro de la consola emplearon un programador interno para ejecutar pequeños scripts en el propio servidor de identidad. Esos scripts les dieron una línea de comandos sobre el equipo que aloja los registros de usuarios, lo que les permitió modificar un registro objetivo: cambiar la dirección de correo y la contraseña de una cuenta de cliente.
De las cuentas a los coches
Con las credenciales cambiadas iniciaron sesión a través de la aplicación legítima y obtuvieron los mismos tokens de acceso que la app usa para controlar vehículos. Esos tokens les permitieron invocar las funciones remotas de los coches: desbloquear puertas, arrancar el motor y, posteriormente, detenerlo y volver a bloquear el vehículo. Los ensayos de control total se realizaron únicamente sobre coches de su propiedad o con permiso explícito de los dueños, y solo en Estados Unidos según la publicación de los investigadores.
Alcance y limitaciones de la investigación
Los investigadores publicaron además una segunda variante que afectó a sistemas de Australia, donde hallaron credenciales administrativas embebidas en el código de la app —un remanente de entornos de prueba— que también permitía acceso. Combinando ambas cadenas de ataque, indicaron que era posible enviar comandos a vehículos en Australia, Estados Unidos y Canadá.
La vulnerabilidad no es un fallo nuevo en ForgeRock sino una mala configuración operativa: mantener consolas administrativas activas y con credenciales por defecto. Por ello no existe un CVE específico ni un aviso de parche del producto; la mitigación es administrativa y de configuración.
Qué deben hacer los administradores y propietarios
- Verificar el servidor de identidad: comprobar si OpenIDM (o PingIDM) expone consolas administrativas y si estas están deshabilitadas o eliminadas en producción.
- Cambiar credenciales por defecto: si la consola existe, cambiar de inmediato cualquier usuario/contraseña por defecto y aplicar autenticación fuerte y controles de acceso.
- Revisar rutas y proxies: validar cómo el borde (WAF, proxy o gateway) y el servidor interpretan las rutas para evitar bypasses mediante codificación de URL.
- Auditar registros y tokens: buscar accesos inusuales, cambios de correo o contraseñas y tokens emitidos fuera de lo habitual; invalidar y rotar tokens si se sospecha compromiso.
- Eliminar credenciales en código: nunca hardcodear credenciales en apps móviles o repositorios, incluso en entornos de prueba.
Los investigadores notificaron a las marcas afectadas y, según su relato, ambos sistemas en Estados Unidos se corrigieron aproximadamente dos horas después del aviso. Los detalles sobre la corrección en Australia no incluyen fecha.
La raíz del problema fue operativa: usar una consola administrativa documentada y no eliminarla ni protegerla, no un fallo del producto en sí.
Lee también:
- OpenAI convierte un prototipo de IA en una canalización que generó 948 exploits de escalada de privilegios en Linux
- Brava Security sale del sigilo con una plataforma IA que simula ataques y $15 millones de financiación
Fuente: The Hacker News
