Newshot 
两名安全研究人员发现，两个汽车品牌移动应用背后的登录系统可能被完全接管，使他们能够访问任何客户的账户，并且对于拥有联网汽车的车主，还能解锁车门并启动发动机。
这两个应用都通过 ForgeRock 让客户登录，该身份平台现已并入 Ping Identity；在这些服务器上，研究人员进入了一个仍在使用默认密码的管理员控制台。
2026 年 2 月，他们仅在美国对自有车辆和获得车主同意的车辆测试了完整攻击，两套系统都在他们报告问题约两小时后被修复。
Shubham Shah 和 Sam Curry 于上周晚些时候公布了他们的研究。他们从这些应用入手：两个品牌都通过同一平台让客户登录，该平台分为两部分：一部分用于登录，另一部分名为 OpenIDM，用于保存客户记录。
OpenIDM 自带一个由 Apache Felix 工具驱动的内置管理员控制台。ForgeRock 自己的加固指南要求运维人员在正式上线前移除该控制台或对其进行保护，因为它单独存储自己的密码，与系统其余部分分开。在这些服务器上，它仍然存在，而且仍在使用文档中记录的默认值：用户名和密码都是 admin。
该控制台被禁止从开放互联网访问，但保护站点的边缘层与其后的 Java 软件对同一网址的解析不同。通过添加编码斜杠和额外字符，研究人员让边缘层将请求视为无害的静态文件，而服务器将其视为通往控制台的路径，剩下的就由默认密码完成。完整方法见他们的技术分析。
在控制台内，研究人员使用内置调度器运行小型脚本，在身份服务器上执行他们自己的代码。这让他们在保存两个品牌登录客户记录的机器上获得了命令提示符。
这些记录与控制台一样位于同一道封锁之后，但研究人员的代码从服务器内部访问到了它们。他们更改了一个目标账户的电子邮件地址和密码，通过正常应用以该客户身份登录，并获得了真实应用所使用的相同访问令牌。
这些令牌就是汽车的钥匙。利用该账户自带的车辆指令，研究人员解锁了一辆测试汽车的车门并启动了发动机，车主当时就站在车旁，随后他们关闭发动机并再次锁车。
研究人员对他们所展示的内容很谨慎。他们报告称能够为受影响服务器上的任何客户账户开启会话，但他们只在自有或获准使用的汽车上运行了车辆指令。他们表示，他们“仅使用美国账户和车辆测试了完整链条”。
Shubham Shah 公布了对同一批品牌背后澳大利亚系统的第二次攻击。在那里，入侵方式不同：身份服务器的管理员凭据被留在了应用代码中，原本是用于测试环境。他在另一篇帖子中完整说明了澳大利亚攻击链。
研究人员表示，将两次攻击结合起来，他们可以向澳大利亚、美国和加拿大的这些品牌汽车发送解锁和启动发动机指令。第二篇帖子没有说明澳大利亚系统何时被修复。
默认的“admin:admin”服务器密码帮助研究人员入侵两家汽车制造商，解锁并启动车辆
这次攻击几乎没有留下让车主察觉的痕迹。更改邮箱和密码并没有让车主从应用中退出登录，研究人员还能把账户的提醒消息转到自己的手机上，让这些提醒不出现在车主手机上。
测试结束后，研究人员把真实邮箱地址改了回去。两份报告都没有说明，在这条路径被关闭之前，是否还有其他人发现或利用过它。
身份团队应检查什么
这两个品牌的错误出在他们运行 ForgeRock 的方式上，而不是产品中新出现的漏洞，因此没有 CVE（用于追踪漏洞的公开编号），也没有厂商公告可供参考。该控制台及其默认密码已被记载多年，厂商的生产环境加固指南早已告知运维人员：在上线前移除该控制台或更改其密码。
对于运行同一身份软件（现以 PingIDM 名称出售）的团队，有两项检查很重要：
- 在 /system/console 查找 Apache Felix 控制台，并将其移除或更改其默认密码。
- 不要指望边缘或 WAF 的路径规则来隐藏管理页面。边缘和服务器对同一路径的解读不同时，就可能绕过规则，正如这次的情况。
这两位研究人员在这类工作上有着长期记录，通常攻入的是应用背后的 Web 系统，而不是汽车本身。他们曾展示过对本田、起亚和斯巴鲁等品牌车辆的远程访问。
他们报告的一个斯巴鲁漏洞通过该车企的网联汽车服务暴露了车主账户和他们的车辆；2023 年一项覆盖 16 个品牌的更广泛研究发现，该行业大部分厂商都存在同类的 Web 弱点。