Fethiye'de ✍️🖋 DYN د ي ن Life & Live E L L H ال ل ه Asist System. — Fethiye’de ✍️🖋 DYN د ي ن Life & Live E L L H ال ل ه Asist System | haberodasi.com ✍️🖋 Helal El Diyar Medya · Bilim-Teknoloji · Otomobil ve Elektrikli Araç · DonanımHaber arşivi.
Yapay Zeka Özeti:
- İki otomobil markasında, kullanıcı adı ve şifresi sadece admin olan skandal bir güvenlik açığı bulundu. Varsayılan sunucu bilgilerini unutan şirketler nedeniyle araştırmacılar müşteri hesaplarına sızdı. Bu açık sayesinde araç kilitleri uzaktan açıldı, motorlar çalıştırıldı ve konumlar izlendi. Hesabı ele geçirilen sürücüler ise uygulamaları açık kaldığı için durumu fark edemedi. Şirketler iki saat içinde açığı kapattı. Kullanıcıların herhangi bir güncelleme yapması gerekmiyor.
Bu habere ait diğer ses dosyaları:
Seslendirme ve özetler yapay zeka ile oluşturulmuştur.
İki otomobil markasının sistemlerine sızmak için araştırmacıların hem kullanıcı adında hem de şifresinde “admin” kullanması yeterli oldu. Sunucularda yıllardır bilinen varsayılan giriş bilgilerini değiştirmeyi unutan şirketler, müşteri hesaplarını ve bağlantılı otomobilleri saldırganlara karşı savunmasız bıraktı. Araştırmacılar bu açık sayesinde araçların kilitlerini uzaktan açabildi, motorlarını çalıştırabildi ve konumlarını takip edebildi.
Güvenlik araştırmacıları Sam Curry ve Shubham Shah tarafından keşfedilen açık, iki otomobil üreticisinin mobil uygulamalarında kullandığı müşteri giriş sistemlerini etkiledi. Araştırmanın ayrıntıları 7 Kasım'da yayımlandı. Ancak şirketlerin talebi üzerine markaların isimleri açıklanmadı.
Admin:admin bilgileriyle sunucuya girdiler
Her iki otomobil üreticisi de mobil uygulamalarında kullanıcı girişleri için ForgeRock adlı kimlik yönetimi platformunu kullanıyordu. Araştırmacılar, sistemdeki müşteri kayıtlarının tutulduğu yönetim altyapısına ulaşmaya çalışırken Apache Felix adlı bir yönetim konsolunu keşfetti.
Bu konsol, internetten doğrudan erişimi engelleyen bir güvenlik duvarının arkasındaydı. Ancak araştırmacılar, özel olarak hazırladıkları internet adresleriyle güvenlik duvarını aşmayı başardı. Ardından karşılarına çıkan giriş ekranında varsayılan kullanıcı adı ve şifreyi denediler. Her iki otomobil markasının sunucusunda da kullanıcı adı ve şifre “admin” olarak ayarlanmıştı.
Bu erişimle sunucuda kendi kodlarını çalıştırabilen araştırmacılar, müşteri kayıtlarının yönetildiği sisteme de ulaştı. Böylece istedikleri müşterinin e-posta adresini ve şifresini değiştirebilecek yetkiye sahip oldular.
Araçların kilidini açıp motorunu çalıştırdılar
Araştırmacılar, açığın sonuçlarını göstermek için bir test hesabının e-posta adresini kendi kontrollerindeki bir adresle değiştirdi ve yeni bir şifre belirledi. Daha sonra otomobilin mobil uygulamasına normal bir kullanıcı gibi giriş yaptı. Hesaba gönderilen altı haneli doğrulama kodu da doğrudan araştırmacılara ulaştı.
Hesap üzerinden aracın şasi numarasına, modeline ve abonelik bilgilerine erişebildiler. Daha önemlisi, otomobil sahibinin uygulamada kullanabildiği uzaktan kontrol özelliklerini de kullanabildiler. Araştırmacılar, test otomobilinin kapılarını uzaktan açtı ve motorunu çalıştırdı. Ardından motoru durdurup kapıları yeniden kilitledi. Üstelik tüm bunlar yapılabilirken araç sahibinin durumu fark etmesi de hayli zor. Çünkü hesaba ait e-posta adresi ve parola değiştirilmesine rağmen mevcut mobil uygulama oturumu sonlandırılmıyordu. Dolayısıyla gerçek araç sahibi uygulamayı kullanmaya devam edebiliyor ve hesabının ele geçirildiğini hemen anlayamayabiliyordu.
Araştırmacılar, tam saldırı zincirini ABD'deki hesaplar ve araçlar üzerinde test ettiklerini belirtti. Shubham Shah, aynı markaların Avustralya'daki sistemlerinde de farklı bir güvenlik açığı buldu. Bu kez mobil uygulamanın kodlarına gömülmüş yönetici giriş bilgileri kullanılarak sisteme erişilebiliyordu. İki araştırmanın birlikte ortaya koyduğu sonuçlara göre ABD, Kanada ve Avustralya'daki araçlara uzaktan kilit açma ve motor çalıştırma komutları gönderilebiliyordu.
Açıklar kapatıldı
Araştırmacılar, güvenlik açıklarını otomobil üreticilerine bildirdikten yaklaşık iki saat sonra her iki şirketin de sorunları giderdiğini ve açıkta kalan giriş bilgilerini değiştirdiğini aktardı. Dolayısıyla kullanıcıların telefonlarına veya araçlarına herhangi bir güncelleme yüklemesi gerekmiyor. Sorun, otomobillerden ziyade üreticilerin sunucularındaki güvenlik yapılandırmasından kaynaklanıyordu.
Öte yandan yeni açık, araştırmacıların otomobil üreticilerinde bulduğu ilk benzer açık da değil. Araştırmacılar daha önce Subaru'nun Starlink sisteminde de kritik bir güvenlik sorunu keşfetmişti. Bu açık sayesinde araç sahiplerinin bazı kişisel bilgilerini bilen kişiler otomobillerin kilidini açabiliyor, motorlarını çalıştırabiliyor ve bir yıllık konum geçmişine erişebiliyordu. Subaru, bildirimin ardından sorunu bir gün içinde kapatmıştı.
Eposta ile Paylaşın başlıklı bu arkadaşınıza postalayın. Bu haberi ve diğer DH içeriklerini, gelişmiş mobil uygulamamızı kullanarak görüntüleyin:
Green Goblin’in uçan kaykayı gerçeğe dönüştü
#fethiyede #haberodasi #HelalElDiyarMedya #kimkimdir #koseyazari #bilimteknolojiotomobilveelektrikliaracdonanimhaber
kullanıcı, şifresi, admin, otomobil, markasında, akılalmaz, güvenlik, açığı, yapay, zeka, özeti, 00:00, haberodasi.com, Fethiyede, Bilim-Teknoloji · Otomobil ve Elektrikli Araç · DonanımHaber
Fethiye'de ✍️🖋 DYN د ي ن Life & Live E L L H ال ل ه Asist System.
