Исследователи безопасности Шубхам Шах и Сэм Карри обнаружили уязвимость на серверах авторизации, через которую можно было управлять автомобилями двух брендов. На серверах платформы управления учётными записями ForgeRock, принадлежащей теперь Ping Identity, сохранилась административная консоль OpenIDM с заводскими данными: логином admin и таким же паролем.
Консоль не была напрямую доступна из интернета, но исследователи обошли защиту специально сформированным URL: пограничный фильтр принимал запрос за обращение к обычному статическому файлу, а Java-сервер вёл его к административной консоли. Получив доступ, они запустили собственный код и добрались до базы данных клиентских учётных записей.
Затем они изменили почту и пароль тестовой учётной записи, вошли в приложение от имени её владельца и получили токены для управления машиной. На автомобиле одного из исследователей они дистанционно открыли двери и запустили двигатель, после чего заглушили мотор и заперли машину. По их утверждению, доступ можно было получить к учётной записи любого клиента на затронутых серверах.
В Австралии Шах нашёл отдельный способ проникновения: административные данные оказались зашиты в код мобильного приложения. Вместе две уязвимости позволяли отправлять команды машинам в США, Австралии и Канаде. Американские системы исправили примерно через 2 часа после сообщения об атаке, дата устранения австралийской проблемы не указана.
Это были ошибки настройки серверов, а не уязвимость самого ForgeRock, поэтому отдельного идентификатора CVE нет. Владелец мог не заметить захват аккаунта: приложение продолжало работать, а уведомления можно было перенаправить на телефон злоумышленника.