İki otomobil üreticisinin ForgeRock kimlik sistemlerinde açık zinciri: araştırmacılar kapı kilidini ve motoru uzaktan kontrol edebildi
Sam Curry ve Shubham Shah, iki otomobil üreticisinin müşteri girişlerini yöneten ForgeRock sunucularında kod çalıştırmaya uzanan bir zincir buldu. Üreticiler açığı bildirimden yaklaşık iki saat sonra kapattı.
Güvenlik araştırmacıları Sam Curry ve Assetnote kurucu ortağı Shubham Shah, 7 Kasım'da yayımladıkları iki yazıda adını vermedikleri iki otomobil üreticisinin bağlantılı araç (connected car) altyapısında buldukları açık zincirini anlattı. Zincir, üreticilerin müşteri girişlerini yöneten ForgeRock kimlik sunucularında uzaktan kod çalıştırmaya kadar uzanıyordu.
Curry'nin yazısına göre bu erişimle herhangi bir müşteri hesabı için geçerli oturum açmak mümkündü. Hesaba bağlı araç varsa, sahibinin mobil uygulamasıyla aynı yetkiler elde ediliyordu: konum ve telemetri, kapı kilidini açma ve kapatma, motoru uzaktan çalıştırma ve durdurma. Araştırmacılar tam zinciri yalnızca ABD'deki hesap ve araçlarla doğruladıklarını belirtiyor.
Açık nerede?
Araştırmacılar istismar ayrıntısı paylaşırken müşteri verisini ve üretici adlarını gizledi. Yazılarda öne çıkan zayıf noktalar şunlar:
- İnternetten erişilebilen yönetim ve test araçları, JavaScript paketlerine gömülü API anahtarları ve bir vendor paketinde açıkta duran OpenIDM yönetici bilgileri.
- Hassas yolları engellemek için kurulan WAF kurallarının, yol karışıklığı (path confusion) tekniğiyle aşılabilmesi.
- ForgeRock üretim hardening kılavuzunun kaldırılmasını ya da korunmasını önerdiği yönetim konsoluna bu yoldan ulaşılabilmesi.
- Shah'ın Avustralya'daki zincirinde plakadan VIN'e, VIN'den hesap bilgisine giden bir sorgu yolu ve MFA adımının atlanabilmesi.
Shah'a göre yalnızca plaka bilinerek Avustralya'daki araçlara komut göndermek mümkündü. İki yazı birlikte Avustralya, ABD ve Kanada'yı kapsıyor.
Düzeltme durumu
Curry'nin paylaştığı zaman çizelgesine göre açık 2026'nın başlarında iki üreticinin ürün güvenliği ekiplerine bildirildi. Üreticiler aynı gün, bildirimden yaklaşık iki saat sonra açığı kapattı ve etkilenen kimlik bilgilerini yeniledi. Shah'ın yazısında Avustralya zinciri için ayrı bir düzeltme tarihi yer almıyor. Kötü niyetli kullanım olup olmadığına dair bir bilgi paylaşılmadı. Aynı ikili daha önce Kia ve Subaru sistemlerinde de benzer açıklar bulmuştu.
Ne yapılmalı?
- ForgeRock (AM/IDM) kullanan kurumlar, yönetim konsollarının ve
/openidmaltındaki yönetim API'lerinin internetten erişilebilir olup olmadığını üreticinin hardening kılavuzuna göre gözden geçirmeli. - WAF kuralı, açıkta duran yönetim arayüzünün yerini tutmaz. Yönetim ve test ortamları iç ağa ya da VPN arkasına alınmalı.
- İstemciye giden JavaScript paketleri ve mobil uygulamalar gömülü anahtar ve parola için düzenli taranmalı. Bulunan her bilgi önce iptal edilip yenilenmeli, sonra koddan temizlenmeli.
- Kimlik sağlayıcı loglarında olağan dışı yönetici oturumları, zamanlanmış görev ya da yapılandırma değişiklikleri ve kodlanmış yol (
%2f,..;) içeren istekler izlenmeli. - Araç sahipleri için ayrı bir işlem gerekmiyor. Yine de bağlantılı araç uygulamasında tanımadığınız ikincil kullanıcı ya da cihaz görürseniz üreticinin resmî destek kanalına bildirin.
