Ein Kennzeichen genügte zwei Sicherheitsforschern in Australien, um ein Auto aus der Ferne zu entriegeln, ohne Passwort und ohne Zweifaktor-Abfrage.[1] Die Hersteller schlossen die Zugänge laut Sam Curry noch am Tag der Meldung. Der Fall zeigt, wie viel an einem einzigen Identitätsserver hängt.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 4 Abschnitte
Shubham Shah und Sam Curry haben am 7. November zwei Berichte veröffentlicht, in denen sie die Connected-Car-Systeme zweier großer Autohersteller überwanden. Die Hersteller bleiben in beiden Berichten ungenannt. In Australien reichten ein Kennzeichen und ein Skript, in den USA gelang ein Zugriff über eine zweite Kette.[2] Die Forscher testeten nur an Fahrzeugen, die ihnen gehörten oder deren Besitzer zustimmten.
Das Wichtigste in Kürze
- Die Forscher entriegelten Türen und starteten Motoren, in Australien allein mit dem Kennzeichen.
- Beide Hersteller liefen auf ForgeRock-Identitätssoftware, heute Teil von Ping Identity.
- Laut Curry schlossen beide Hersteller die Zugänge etwa zwei Stunden nach der Meldung.
- Seit Juli 2024 müssen neue Autos in der EU die UN-Regelung R 155 zur Cybersicherheit erfüllen.
Wie wurde aus einem Kennzeichen ein Autoschlüssel?
In Australien ergibt das Kennzeichen über staatliche Abfragedienste die Fahrgestellnummer, daraus ließ sich ein Kundenkonto ableiten. Auf einer öffentlich erreichbaren Admin-Seite des Herstellers fand Shah in einem JavaScript-Datei Zugangsdaten für den Identitätsserver. Die Firewall blockte zwar Anfragen an die Verwaltungsschnittstelle, ein vorangestelltes „/static“ mit verschlüsselten Schrägstrichen kam aber durch.[1]
Damit konnten die Forscher das Passwort eines beliebigen Kunden ersetzen. Die Zweifaktor-Abfrage ließ sich über einen älteren Anmeldeweg umgehen, danach stellte die App ein Token aus, mit dem sich die Türen entriegeln ließen. Curry beschreibt für die USA eine längere Kette: Dort lief auf dem Server eine Verwaltungskonsole mit dem Standardpasswort „admin:admin“, über die Curry Code auf dem Identitätsserver ausführte.[2]
Warum half die Firewall nicht?
Curry führt den Fehler auf unterschiedliche Lesarten derselben Adresse zurück: Firewall, Servlet-Container und Anwendung zerlegen den Pfad jeweils anders. Die Firewall sieht eine harmlose Anfrage nach einer statischen Datei, der Server dahinter landet auf der Admin-Route. Der Fall reiht sich in eine Serie derselben Autoren ein: Im Januar 2025 hatten sie über das Admin-Portal von Subarus Starlink-Dienst Fahrzeuge in den USA, Kanada und Japan öffnen können. Subaru behob das binnen eines Tages.[3]
Eine Firewall vor einer offenen Admin-Seite ist ein Schloss an der falschen Tür.
Michael Dobler, Herausgeber Dr. Web
Was folgt daraus für Europa und für Ihr Unternehmen?
Seit Juli 2024 müssen neue Fahrzeuge in der EU die UN-Regelung R 155 erfüllen. Die Regel verlangt vom Hersteller ein zertifiziertes Cybersecurity-Managementsystem, das Entwicklung, Produktion und Lebenszyklus abdeckt.[4] Ob die Backend-Systeme einer Fahrzeug-App in der Prüfung so geprüft werden wie hier beschrieben, geht aus den Berichten nicht hervor.
Für Betriebe mit Firmenwagen oder Flotten-App bleibt eine Frage an den Hersteller: Wer verwaltet die Konten? Was passiert bei einem Vorfall? Die Lehre gilt auch für Ihre eigene Website. Admin-Oberflächen gehören nicht ins offene Netz, Standardpasswörter und Zugangsdaten nicht in Skriptdateien. Eine Firewall ersetzt keine Zugangssperre. Wie Sie ein sicheres Fundament legen, zeigt der WordPress-Hosting-Vergleich. Aktuelle Fälle sammelt die Cybersecurity-Rubrik.
Quellen
4 Quellen anzeigenQuellen ausblenden
- Shubham ShahUnlocking any car from X brand in most of the world
- Sam Curry und Shubham ShahHacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle Access
- Sam CurryHacking Subaru
- TÜV RheinlandCybersecurity für Fahrzeughersteller (UN-R 155)
Mehr Newshunger?
- Kühlregal-Angriff trifft erste Supermärkte in Deutschland
- Hacker stellen Kühlräume für Blutplasma in Frankreich auf 110 Grad
- Google zerschlägt Botnetz aus 1,3 Millionen TV-Boxen
- Einbruch bei GitBook: Angreifer könnten API-Token erbeutet haben
- OpenAI-Pipeline erzeugt 948 Root-Exploits für Linux
- Cloudflare schlägt vier Identitätsstufen für KI-Agenten vor
