Si tienes un moderno SubaruEs probable que hayas oído hablar de Enlace estelar —la empresa Suite de servicios conectados, que te permite controlar tu auto a través de una aplicación o llamar a la asistencia en carretera a tu ubicación. Ese sistema, sin embargo, tiene otras funciones que quizás no conozcas: Cómo almacenar el historial de ubicación de su automóvil durante el último año, y hacer que esa información esté disponible a través de un panel de administración que hasta hace poco estaba completamente abierto a los piratas informáticos.
El equipo de pruebas de penetración Sam Curry y Shubham Shah descubrieron una vulnerabilidad en la consola de administrador de Starlink, que permitió a los piratas informáticos comprometer las cuentas de los empleados de Subaru y obtener acceso de administrador al sistema. Con esto, los piratas informáticos podrían rastrear los pings de ubicación de Starlink de un automóvil durante el último año, así como la funcionalidad típica de la aplicación Starlink: bloqueo, desbloqueo, geofencing y más.
La descripción de la vulnerabilidad implica leer mucho JavaScript, pero el vector de ataque en sí mismo provino de las cuentas de empleados de Subaru. Curry y Shah encontraron el enlace al portal de administración de Starlink a través de comunicaciones desde la aplicación MySubaru y descubrieron que las contraseñas de las cuentas se podían restablecer sin confirmación del titular de la cuenta. La pareja descubrió el formato de las direcciones de correo electrónico de Subaru, forzaron el sitio hasta que una dirección funcionó y luego pasaron por alto la solicitud de pregunta de seguridad. Con eso, ya estaban dentro.
El panel de administración permitía el acceso a cualquier Subaru en los Estados Unidos, Canadá o Japón. Todo lo que necesitaba era un VIN, que Curry y Shah podían obtener de los registros de registro usando un número de matrícula. Eso significa que, en teoría, cualquier Subaru en la calle con una matrícula visible podría ser accedido con esta vulnerabilidad.
Por supuesto, siendo buenos sombreros blancos, Curry y Shah no publicaron la vulnerabilidad hasta que ya había sido parcheada. La pareja informó a Subaru del problema en noviembre y se solucionó en 24 horas. Aún así, no se sabe qué otras formas puede haber de acceder al panel de administración de Starlink que la empresa aún no conoce, o ¿Qué otros sistemas de coches conectados tienen los mismos problemas?.
Este contenido ha sido traducido automáticamente del material original. Debido a los matices de la traducción automática, pueden existir ligeras diferencias. Para la versión original, haga clic aquí.