İki Otomobil Markasının Kapısını Açan Varsayılan admin:admin Şifresi

İki otomobil markasının mobil uygulamaları, müşterileri ForgeRock (şimdi Ping Identity) üzerinden oturum açıyordu. Bu sunucularda bir yönetici konsolu hâlâ belgelenmiş varsayılan şifreyi kullanıyordu: admin / admin.

Araştırmacılar Shubham Shah ve Sam Curry bu açığı zincirleyerek herhangi bir müşteri hesabını ele geçirdi — bağlı araçlar için kapıları açıp motoru çalıştırdı. Testler Şubat 2026'da, izin veren araç sahiplerinin araçlarında yapıldı. İki sistem de bildirimden yaklaşık iki saat sonra düzeltildi.

Zincir Nasıl Gelişti

Kimlik platformu iki parçada çalışır: biri giriş için, öteki OpenIDM müşteri kayıtlarını tutar. OpenIDM, Apache Felix aracıyla çalışan yerleşik bir yönetici konsoluyla gelir. ForgeRock'un kendi sıkılaştırma rehberi, operatörlere canlıya almadan önce bu konsolu kaldırmasını veya korumasını söyler; çünkü konsol şifresini sistemin geri kalanından ayrı saklar. Bu sunucularda konsol hâlâ vardı — kullanıcı adı ve şifre ikisi de admin kelimesiydi.

Konsol internetten engellenmişti; ancak siteyi koruyan edge ile arkasındaki Java yazılımı aynı adresi farklı okuyordu. Kodlanmış slash'lar ve ek karakterler ekleyerek araştırmacılar, edge'in isteği zararsız bir statik dosya saymasını, sunucunun ise konsol yolu saymasını sağladı. Varsayılan şifre gerisini yaptı. Tam yöntem: Sam Curry'nin teknik analizi.

Konsolun içinde yerleşik zamanlayıcıyı kullanarak kimlik sunucusunda kod çalıştırıp, iki markanın müşteri kayıtlarını tutan makinede komut satırına ulaştılar. İçeriden hedef hesabın e-posta ve şifresini değiştirip normal uygulama üzerinden oturum açtılar ve gerçek uygulamanın kullandığı token'ları aldılar — aracın anahtarları. Yanında duran aracın sahibinin yanında kapıları açıp motoru çalıştırdılar, sonra kapattılar.

Avustralya sistemlerindeki ikinci saldırı, uygulamanın kodunda test kurulumu için bırakılmış yönetici bilgilerini kullandı (Avustralya zinciri). İkisi birlikte Avustralya, ABD ve Kanada'daki araçlara ulaştı.

Kimlik Ekiplerinin Yapması Gerekenler

Burada CVE yok — hata, platformun çalıştırılışında; üründe yeni bir bug değil. PingIDM (eski ForgeRock) kurulumları için iki kontrol:

• Apache Felix konsolunu /system/console adresinde arayın; kaldırın ya da varsayılan şifreyi değiştirin.
• Yönetici sayfalarını gizlemek için edge/WAF yol kurallarına güvenmeyin — edge ve sunucunun farklı okuduğu bir yol kuralların yanından geçer.

Araştırmacılar sahipsiz iz bırakmadı: e-posta ve şifre değişikliği sahibinin çıkışını yaptırmadı, uyarılar saldırganın telefonuna yönlendirilebildi. E-posta testten sonra geri yazıldı.

Kendi ForgeRock Kurulumunuzda Düzeltmeyi Doğrulamak

/system/console kaldırıldıktan sonra çarenin gerçekten tuttuğunu doğrulayın: konsol yolunu ağ dışından yeniden isteyin, edge'in hâlâ çözmediğini kontrol edin; admin kullanıcıyla yeniden giriş yapıp varsayılan şifrenin artık çalışmadığını doğrulayın; uygulama paketini hardcoded test bilgileri için tarayın — Avustralya yolculuğu, "varsayılan şifre"nin aslında pakete dahil edilmiş bir dev hesabı olduğunu ne sıklıkla gösterdiğini ortaya koyuyor. Ardından WAF log'larında kodlanmış slash varyasyonlarını arayın; atlama tekniği düz yol denetiminin kaçırdığı izler bırakır. Kimsenin doğrulamadığı düzeltme, kontrol değil umuttur.

Dersin Özü

Bu zincirde CVE yok, ürün bug'ı yok — sadece çalıştırma hatası var. Varsayılanı değiştirmediğiniz ikinci bir kimlik katmanı, hangi otomotiv markası olursa olsun aynı hikayeyi tekrar oynatır: kaldırılması belgelenen bir konsol, WAF ve sunucu arasında farklı okunan bir yol, varsayılan şifre. Enerji değil, dikkat gerekiyor; araçlar uzaktan açılıyor diye korku hikayesi değil çünkü asıl risk bağımlı kimlik yığınında gizlidir.

Kaynaklar

• The Hacker News haberi
• Sam Curry teknik analizi
• Shubs Avustralya zinciri yazısı
• PingIDM sıkılaştırma rehberi