Senha padrão admin:admin em servidor expõe duas montadoras e permite destravar e ligar carros de teste

Os pesquisadores Shubham Shah e Sam Curry mostraram que os sistemas de login por trás dos aplicativos de duas montadoras podiam ser tomados por completo. Ambos usavam o ForgeRock (hoje Ping Identity), que roda em duas partes: uma de autenticação e outra, o OpenIDM, que guarda os registros de clientes. O OpenIDM traz um console de administração baseado em Apache Felix. O guia de hardening do próprio fabricante manda remover esse console ou protegê-lo antes de ir para produção, porque ele guarda a senha separadamente do resto do sistema. Nesses servidores ele continuava lá, com o padrão documentado: admin como usuário e como senha.

O console não estava aberto à internet, mas a filtragem de borda e o software Java por trás leem o mesmo endereço de formas diferentes. Com barras codificadas e caracteres extras, a borda tratou a requisição como um arquivo estático inofensivo, enquanto o servidor a levou ao caminho do console. Lá dentro, o agendador embutido permitiu executar scripts e obter um prompt de comando na máquina que guarda os registros. Os pesquisadores trocaram e-mail e senha de uma conta alvo, entraram pelo app normal e receberam os mesmos tokens que o aplicativo usa. Com eles, destravaram e ligaram um carro de teste. Trocar e-mail e senha não derrubava a sessão do dono, e os alertas podiam ser redirecionados ao telefone dos pesquisadores.

O teste completo foi feito só com contas e veículos de proprietários que consentiram, nos Estados Unidos, em fevereiro de 2026. Os dois sistemas foram corrigidos cerca de duas horas após o relato. Shah publicou ainda um segundo ataque contra os sistemas australianos, em que credenciais de administrador do servidor de identidade estavam no código do app, destinadas a um ambiente de teste. Somando as duas cadeias, os pesquisadores dizem que poderiam enviar comandos de destravar e dar partida a carros na Austrália, nos Estados Unidos e no Canadá. O segundo texto não informa quando o lado australiano foi corrigido, e nenhum dos relatos diz se alguém mais usou o caminho antes do fechamento.

Para quem opera identidade, o caso é um lembrete de que não há CVE nem aviso do fornecedor para acompanhar: o erro foi de configuração, e o console e a senha padrão estão documentados há anos. Isso significa que o inventário precisa procurar o console Felix em /system/console e removê-lo ou trocar a senha. Regra de WAF ou de borda escondendo página administrativa não substitui isso, já que um caminho lido de forma diferente pela borda e pelo servidor passa pelo filtro. Para o setor automotivo, o ponto crítico é que a conta de app abre o carro, então quem controla o provedor de identidade controla os veículos.