Os sistemas de acesso usados pelos aplicativos de duas marcas de automóveis podiam ser totalmente comprometidos, descobriram dois pesquisadores de segurança. A falha permitia acessar a conta de qualquer cliente e, no caso de veículos conectados, destrancar as portas e ligar o motor.
Os dois aplicativos autenticavam os clientes por meio do ForgeRock, uma plataforma de identidade que agora faz parte da Ping Identity. Nos servidores da plataforma, os pesquisadores encontraram um painel administrativo que ainda usava a senha padrão.
O ataque completo foi testado apenas em veículos dos próprios pesquisadores ou de proprietários que autorizaram os testes, nos Estados Unidos, em fevereiro de 2026. Os dois sistemas foram corrigidos cerca de duas horas depois que o problema foi comunicado.
Shubham Shah e Sam Curry divulgaram a pesquisa no fim da semana passada. Eles começaram analisando os aplicativos: as duas marcas usavam a mesma plataforma de autenticação, composta por duas partes. Uma cuidava do acesso e a outra, chamada OpenIDM, armazenava os registros dos clientes.
O OpenIDM inclui um painel administrativo integrado, desenvolvido com a ferramenta Apache Felix. O guia de segurança do próprio ForgeRock orienta os operadores a remover o painel ou protegê-lo antes de colocar o sistema em produção, pois ele armazena a senha separadamente do restante da plataforma. Nos servidores analisados, o painel continuava disponível e usava a senha padrão documentada: “admin” como nome de usuário e senha.
O painel estava bloqueado para acessos diretos pela internet, mas a camada de borda que protegia o site e o software Java por trás dela interpretavam o mesmo endereço de maneiras diferentes. Ao acrescentar barras codificadas e outros caracteres, os pesquisadores fizeram a camada de borda tratar a solicitação como um arquivo estático inofensivo, enquanto o servidor a interpretava como um caminho para o painel. A senha padrão completou o ataque. O método está detalhado na análise técnica dos pesquisadores.
Dentro do painel, eles usaram um agendador integrado para executar pequenos scripts com código próprio no servidor de identidade. Isso lhes deu acesso a um prompt de comandos na máquina que armazenava os registros de clientes usados nos sistemas de acesso das duas marcas.
Os registros estavam protegidos pela mesma barreira que restringia o acesso ao painel, mas o código dos pesquisadores conseguiu alcançá-los de dentro do servidor. Eles alteraram o endereço de e-mail e a senha de uma conta, entraram no aplicativo como aquele cliente e receberam os mesmos tokens de acesso usados pelo aplicativo legítimo.
Esses tokens permitiam controlar o veículo. Usando os comandos associados à conta, os pesquisadores destrancaram as portas e ligaram o motor de um carro de teste, com o proprietário ao lado. Em seguida, desligaram o motor e trancaram novamente o veículo.
Os pesquisadores limitaram cuidadosamente o alcance dos testes. Eles relataram que conseguiram iniciar uma sessão em qualquer conta de cliente nos servidores afetados, mas só enviaram comandos aos veículos que possuíam ou tinham autorização para usar. Segundo eles, “testaram a cadeia completa apenas com contas e veículos dos Estados Unidos”.
Shubham Shah também divulgou um segundo ataque contra os sistemas das mesmas marcas na Austrália. Nesse caso, o acesso ocorreu de outra forma: as credenciais administrativas do servidor de identidade estavam gravadas no código do aplicativo e eram destinadas a um ambiente de testes. Shah descreveu toda a cadeia do ataque na Austrália em uma publicação separada.
Considerando os dois ataques, os pesquisadores disseram que poderiam enviar comandos para destrancar os veículos e ligar o motor na Austrália, nos Estados Unidos e no Canadá. A segunda publicação não informa quando os sistemas australianos foram corrigidos.
O ataque deixava poucos sinais perceptíveis para o proprietário. A alteração do endereço de e-mail e da senha não encerrava a sessão do cliente no aplicativo. Além disso, os pesquisadores podiam redirecionar os alertas da conta para o próprio telefone, impedindo que chegassem ao aparelho do proprietário.
Depois dos testes, os pesquisadores restauraram o endereço de e-mail original. Nenhum dos relatos informa se alguém encontrou ou explorou a vulnerabilidade antes que ela fosse corrigida.
**O que as equipes de identidade devem verificar**
O problema estava na forma como as marcas configuraram o ForgeRock, não em uma nova falha do produto. Por isso, não foi atribuído um CVE, identificador público usado para rastrear vulnerabilidades, e o fornecedor não publicou um comunicado sobre o caso. O painel e a senha padrão são conhecidos há anos, e o guia de segurança do fabricante para ambientes de produção já recomenda remover o painel ou alterar sua senha antes de colocar o sistema no ar.
Para as equipes que usam o mesmo software de identidade, agora vendido como PingIDM, duas verificações são importantes:
- Procure o painel do Apache Felix no caminho `/system/console` e remova-o ou altere sua senha padrão.
- Não confie apenas nas regras de caminho da camada de borda ou do Web Application Firewall (WAF) para ocultar páginas administrativas. Um caminho interpretado de maneira diferente pela camada de borda e pelo servidor pode contornar as regras, como ocorreu neste caso.
Os dois pesquisadores têm um histórico de investigações semelhantes, geralmente voltadas aos sistemas web por trás dos aplicativos, e não aos veículos em si. Eles já demonstraram acesso remoto a veículos da Honda, Kia e Subaru, entre outras marcas.
Uma falha da Subaru relatada pelos pesquisadores expôs contas de proprietários e permitiu acessar seus veículos por meio do serviço de carros conectados da montadora. Já um estudo mais amplo, realizado em 2023 e envolvendo 16 marcas, encontrou o mesmo tipo de fragilidade nos sistemas web de boa parte do setor.
Publicidade
Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...