İki otomobil markasının araçlarına uzaktan erişim sağlanarak kilitleri açıldı ve araçlar çalıştırıldı. Mobil uygulama sunucularına varsayılan olan "admin" kullanıcı adı ve şifresi ile girildi.
Canlı İzleSon DakikaNTVArama Aç İki otomobil markasında güvenlik açığı: "Admin" şifresi ile girildi, araçlar çalıştırıldı10.11.2026 03:57
İncelenen sistemlerde yönetim paneline doğrudan erişim güvenlik duvarıyla engelleniyordu. Ancak güvenlik duvarı ile sunucunun aynı web adresini farklı yorumlaması, araştırmacıların panele ulaşmasına imkan verdi. Panel, hem kullanıcı adı hem de parola olarak hala “admin” bilgisini kabul ediyordu. Platformun sahibi Ping Identity, kendi güvenlik kılavuzunda bu panelin canlı sistemde kaldırılmasını veya erişim bilgilerinin değiştirilerek korunmasını öneriyor.
Araştırmacılar, sunucuya eriştikten sonra izinli bir test hesabının e-posta adresini ve şifresini değiştirerek mobil uygulama üzerinden yeni bir oturum açtı. Böylece aracın konumuna ve uygulamanın desteklediği uzaktan kumanda işlevlerine erişebildiler. Hesap bilgilerindeki değişiklik, araç sahibinin telefonundaki mevcut oturumu kapatmadı. Shah, araç sahibi otomobilin yanındayken kapıların kilidini açtı ve motoru çalıştırdı.
Shah’ın ayrı raporuna göre Avustralya’daki sistemde, test ortamı için hazırlanmış yönetici bilgilerinin bir JavaScript dosyasına gömülü olduğu ve aynı bilgilerin müşterilere hizmet veren sistemde de çalıştığı görüldü. Araştırmacılar, bu yöntemle izinli bir test aracının kapı kilidini açtı. Shah, iki çalışmanın birlikte ABD, Kanada ve Avustralya’daki bağlı araçlara uzaktan komut gönderilebildiğini gösterdiğini belirtiyor.
Yorum Yap