セキュリティ
2人の研究者がWAFのバイパスとデフォルトログインを連鎖させ、オーストラリアと米国の車両を遠隔操作
セキュリティ研究者らがAndroidアプリの欠陥を悪用し、大手自動車メーカー2社のコネクテッドカーに遠隔からアクセスすることに成功しました。エンジンの始動、ヘッドライトの点滅、クラクションの鳴動が可能になります。
この攻撃を今年前半に実施したのは、Assetnoteの共同創業者であるShubham Shah氏と、研究者のSam Curry氏です。両氏は車両のAndroidアプリを調べ上げ、オーストラリアと米国の車両に遠隔でコマンドを送り込む攻撃経路を考案しました。
2人は研究の異なる側面を扱う別々のブログを公開しています。Shah氏は、米国での攻撃には「はるかに多くの労力が必要だった」と述べています。この自動車メーカーが、米国、カナダ、欧州のOpenIDM環境の保護に「はるかに多くの時間を費やしていた」ためです。
2つの攻撃チェーンはいずれも、両メーカーが利用するIDプラットフォーム「ForgeRock」の弱点を軸にしています。研究者らは自動車メーカー名を伏せています。両氏は過去にも、Hyundai、Kia、Subaru、さらに多数のメーカーの欠陥を指摘してきました。
オーストラリア版のアプリでは、まず公開されているナンバープレート照会サービスを使って車両識別番号（VIN）を突き止めました。そのVINを使って内部APIに問い合わせると、個人情報や所有者のメールアドレスが返ってきたといいます。
さらに、ForgeRock OpenIDMのハードコードされた管理者認証情報も見つかりました。これはステージング環境用のものでしたが、本番環境でも有効でした。研究者らはパストラバーサルの欠陥を突いて厳格なWAFのフィルタリングを回避し、内部の管理者向けAPIを呼び出しました。その結果、メールアドレスだけで標的のアカウントを乗っ取れたのです。
これにより認証トークンを発行できるようになり、モバイルアプリ経由で対象車両に任意のコマンドを送信できました。
米国版でコマンドを送るにも、パストラバーサルによるWAFのフィルタリング回避が必要でした。ただし、手法はより複雑です。パスの混同（path confusion）を悪用して、Apache Felixの管理コンソールに到達しました。
研究者らは、FelixのOSGi Web Consoleで工場出荷時のデフォルト認証情報を使い、管理者権限を取得しました。続いてFelixの構成マネージャーを使い、インラインのGroovyスクリプトを実行するタスクをスケジュールしています。これでIDサーバーのシェルアクセスを手に入れました。
次にローカルの管理者向けAPIエンドポイントに問い合わせ、ユーザーアカウントのデータを閲覧・変更できる状態にしました。そこから車の所有者のアカウントにログインし、オーストラリア版と同じコマンドを送信する権限を得ています。
Curry氏が公開した開示のタイムラインによると、同氏とShah氏は「2026年初め」に影響を受けた自動車メーカーに連絡しました。報告から2時間以内に、これらの攻撃は修正されたということです。
自動車メーカーは匿名を望んでいますが、すぐに車好きの間で、Shah氏のデモ動画に映る一部がぼかされた車がトヨタ車ではないかとの憶測が広がりました。サイドミラーの形状と、解錠時の音を根拠に挙げています。
この件を見守る人々の間では、問題の2社はトヨタと、その高級ブランドのレクサスではないかとの見方が出ています。この指摘が正確かどうかを尋ねたところ、トヨタ自動車の広報担当者は肯定も否定もしませんでした。
Curry氏によると、両氏は自動車メーカー側の匿名希望を尊重しました。セキュリティ担当者が現在抱える業務負荷を考慮したためです。
同氏は次のように述べています。「当然ながら、メーカー側は社名を出さないよう求めています。本来なら社名の掲載を求めて戦うところですが、いまはセキュリティ業界が多忙な時期です。今回の開示を気にして、リソースをそちらに割かせてしまうのは本意ではありません」 ®
