Дефект Subaru Starlink позволял хакерам взламывать автомобили в США и Канаде

Исследователи безопасности обнаружили недостаток произвольного захвата учетной записи в сервисе Starlink компании Subaru, который может позволить злоумышленникам отслеживать, контролировать и захватывать автомобили в США, Канаде и Японии, используя только номерной знак.

В четверг охотник за головами Сэм Карри сообщил, что уязвимость была обнаружена 20 ноября 2024 года с помощью исследователя Шубхама Шаха.

Они обнаружили, что дефект безопасности дает потенциальным злоумышленникам неограниченный целевой доступ ко всем учетным записям и автомобилям американских, канадских и японских клиентов. Единственным условием было предварительное знание фамилии и почтового индекса жертвы, адреса электронной почты, номера телефона или номерного знака.

Помимо прочего, успешная эксплуатация могла позволить хакерам, нацеленным на клиентов Subaru:

• Дистанционно запускать, останавливать, блокировать, разблокировать и определять текущее местоположение любого автомобиля.
• Получить историю местоположения любого автомобиля за последний год (с точностью до 5 метров и обновлением при каждом запуске двигателя).
• Запрос и получение персональной идентифицируемой информации (PII) любого клиента, включая контакты экстренных служб, авторизованных пользователей, физический адрес, платежную информацию (например, последние четыре цифры кредитной карты, за исключением полного номера карты) и PIN-код автомобиля.
• Доступ к различным данным пользователя, включая историю звонков в службу поддержки, информацию о предыдущих владельцах, показания одометра, историю продаж и многое другое.

Карри также поделился видеороликом, демонстрирующим, как уязвимость Starlink может быть использована для получения данных о местоположении автомобиля Subaru более чем за год в течение всего 10 секунд.

Как обнаружил исследователь, портал администратора Subaru Starlink содержал недостаток произвольного захвата учетной записи, связанный с конечной точкой API «resetPassword.json», которая позволяла сотрудникам Subaru сбрасывать свои учетные записи с помощью действительного электронного письма без маркера подтверждения.

Завладев учетной записью сотрудника, Карри также должен был обойти запрос двухфакторной аутентификации (2FA), чтобы получить доступ к порталу. Однако и это можно было легко обойти, удалив клиентский оверлей из пользовательского интерфейса портала.

«Было множество других конечных точек. Одной из них был поиск автомобиля, который позволял запрашивать фамилию и почтовый индекс клиента, номер телефона, адрес электронной почты или VIN-номер (получаемый по номерному знаку) и предоставлять/изменять доступ к его автомобилю», - говорит он.

«После поиска и нахождения своего собственного автомобиля на приборной панели я подтвердил, что административная панель STARLINK должна иметь доступ практически к любому автомобилю Subaru в США, Канаде и Японии».

Исследователи также проверили, что они могут выполнять все действия, перечисленные на портале, используя номерной знак автомобиля Subaru своего друга.

По словам Карри, Subaru исправила уязвимость в течение 24 часов после сообщения исследователей, и злоумышленники так и не воспользовались ею.

Группа исследователей безопасности, включая Карри, обнаружила аналогичную уязвимость в дилерском портале Kia, что позволило хакерам найти и украсть миллионы автомобилей Kia, выпущенных с 2013 года, используя только номерной знак целевого автомобиля.