LONDON (IT BOLTWISE) – Zwei Sicherheitsforscher zeigen, wie ein Default-Admin-Passwort in einer Identity-Server-Konsole den kompletten Zugriff auf Kundenkonten in Mobil-Apps ermöglicht. Über die so erlangten Tokens konnten sie in Tests Türen öffnen und Motorstarts auslösen, solange ein Fahrzeug per App verbunden ist. Ausgelöst wurde der Angriff nicht durch einen neuen Softwarefehler, sondern durch eine unzureichend entfernte bzw. abgesicherte Administrationskomponente. Betroffene Teams sollten insbesondere die Felix-Konsole am Apache-Serverpfad prüfen und deren Default-Zugang sofort entfernen oder ändern.
Die Meldung wirkt auf den ersten Blick wie ein klassischer Web-Fehler, tatsächlich liegt das Risiko jedoch tiefer in der Identitätskette: Wenn ein Identity-Server eine Administrationskonsole mit einem Default-Passwort ausliefert, reicht schon ein Umweg über eine Web-Anfrage, um daraus Kontrolle über Nutzerkonten und letztlich auch über Fahrzeugfunktionen zu machen. In dem beschriebenen Szenario konnten die Forscher die Login-Systeme zweier Automarken in den USA übernehmen, weil die Hersteller in ihren Deployments eine zentrale Konsole nicht wie vorgesehen entfernt oder geschützt hatten. Entscheidend ist dabei die Abhängigkeit moderner Connected-Car-Setups von App-Authentifizierung und von Zugriffstokens, die das Backend des Fahrzeugsportsystematisch mitnutzt.
Technisch starten die Angriffe an den Mobil-Apps, die bei beiden Marken über dieselbe Identitätsplattform signierten: ForgeRock. Auf den betroffenen Servern lief dabei der Teil, der Kundendaten verwaltet, mit einer Komponente namens OpenIDM, die eine eingebaute Administratoroberfläche bereitstellt. Diese Konsole wurde im Fall nicht sauber abgesichert, sondern war über die Apache-Felix-Mechanik real erreichbar; der Server akzeptierte dann für Benutzername und Kennwort weiterhin den dokumentierten Default-Wert „admin“ und „admin“. Laut der Beschreibung der Forscher war die Konsole zwar vom offenen Internet blockiert, doch die Schutzschicht las nicht jede Anfrage gleich aus: Die Edge-Komponente behandelte bestimmte verschlüsselte Pfadvarianten als statische Datei, während der Java-Server die gleiche Eingabe als Pfad zur Konsole interpretierte. Genau solche Divergenzen zwischen Proxy, Edge und Anwendung sind für Angreifer Gold wert, weil sie Umgehungslogik in scheinbar geschlossenen Bereichen ausnutzen.
Von dort aus wird der Schritt vom „Login ins Admin-Panel“ zum „Login als Kunde“ möglich. In der Konsole fanden die Forscher laut ihrem Bericht einen Mechanismus, der eine integrierte Planung (Scheduler) zum Ausführen kleiner Skripte vorsah. Damit konnten sie eigenen Code auf dem Identity-Server ausführen und erhielten einen Command-Prompt auf der Maschine, auf der die Kundendatensätze hinterlegt waren. Die eigentlichen Konten lagen zwar weiterhin hinter derselben Blockierung wie die Konsole, aber weil der Zugriff nun „innerhalb“ des Servers stattfand, konnten sie die Datenumgebung direkt ansprechen. Anschließend änderten sie bei einem Zielkonto E-Mail-Adresse und Passwort, meldeten sich danach als dieser Kunde über den normalen App-Login an und bekamen die gleichen Zugriffstokens, die die echte App verwendet.
Diese Tokens sind im Connected-Car-Kontext praktisch der Schlüssel zum Fahrzeug. Mit den von der App üblichen Fahrzeugkommandos konnten die Forscher in einem Test an einem autorisierten Fahrzeug die Türen entriegeln und den Motor starten. Sie beschrieben, dass sie den Startvorgang nur mit von ihnen selbst kontrollierten oder ausdrücklich erlaubten Fahrzeugen ausführten und den Motor danach wieder stoppten und das Fahrzeug erneut verriegelten. Zusätzlich wird deutlich, warum der Angriff für Fahrzeughalter schwerer zu merken gewesen sein dürfte: Das Ändern von Anmeldeinformationen führte nicht automatisch dazu, dass die betroffene Person aus der App-Session abgemeldet wurde. Noch problematischer war, dass die Forscher die Alarmmeldungen des Kontos auf ihr eigenes Telefon umleiten konnten, sodass Benachrichtigungen den Besitzer nicht erreichten. In der Beschreibung wurde außerdem erwähnt, dass nach dem Test die reale E-Mail-Adresse wiederhergestellt wurde.
Für Betreiber ist außerdem relevant, dass die zweite Angriffsvariante in Australien anders ansetzte: Dort waren die Admin-Zugangsdaten offenbar bereits im App-Code hinterlegt, ursprünglich für ein Testsetup gedacht. Dieser Unterschied zeigt, dass die „Root Cause“ nicht bei einem einzelnen Produkt-Feature liegen muss. In der gemeinsamen Betrachtung beider Fälle erklären die Forscher, sie könnten mit den jeweiligen Ketten Fernkommandos wie Entriegeln und Motorstart in mehreren Regionen (inklusive Australien, USA und Kanada) senden. Gleichzeitig blieb offen, ob vor der Schließung des Pfads bereits andere Akteure diesen Zugang gefunden und genutzt haben; die veröffentlichten Informationen geben dazu keinen eindeutigen Nachweis.
Besonders klar wird die organisatorische Konsequenz im Teil für Identity-Teams: Es gebe keinen CVE-Tracking-Eintrag und keine direkt nachverfolgbaren Vendor-Advisories, weil die Problematik laut Darstellung eher in der Betriebsweise als in einem neuen Programmfehler bestand. Die Dokumentation des Identity-Stacks – einschließlich Hardening-Anleitungen – soll Betreiber genau deshalb dazu anhalten, die Administrationskonsole zu entfernen oder zu schützen, bevor Systeme in Produktion gehen. Für Teams, die die gleiche Identity-Software-Generation betreiben (heute unter dem Namen PingIDM vermarktet), lautet die praktische Checkliste deshalb weniger „Patch suchen“, sondern „Konfiguration härten“: Die Apache-Felix-Konsole unter dem Pfad /system/console müsse entweder vollständig entfernt oder so abgesichert werden, dass kein Default-Zugang mehr funktioniert. Zudem wird ausdrücklich davor gewarnt, sich allein auf WAF- oder Edge-Routingregeln zu verlassen, weil Pfade, die von Edge und Server unterschiedlich interpretiert werden, solche Schutzmechanismen unterlaufen können.
Aus Branchensicht fügt sich das in eine längere Entwicklung ein: Connected-Car-Funktionen hängen nicht nur an der Fahrzeug-IT, sondern an den Sicherheitsgarantien rund um App-Login, Token-Validierung und Identitätsdatenhaltung. Wenn dort Admin-Zugänge oder schlecht konfigurierte Schnittstellen existieren, reicht ein Angriff auf die Web- bzw. Identity-Schicht aus, um „legitime“ Tokens zu erzeugen. Die Forscher verweisen zudem auf frühere Arbeiten, bei denen sie remote auf Fahrzeug-Ökosysteme über die App- oder Websysteme vorgingen – nicht über physische oder direkte Fahrzeugzugriffe. Für Sicherheitsverantwortliche bedeutet das vor allem: Penetrationstests sollten nicht bei der Authentifizierung stehen bleiben, sondern die Kette bis in die tokenbasierten Fahrzeugaktionen nachverfolgen und dabei auch Betriebsaspekte wie Default-Credentials, Konfigurationsdrift und Pfadnormalisierung systematisch abprüfen.
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Default-Admin-Passwort in Identity-Konsole ermöglicht Fernzugriff aufs Auto" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Default-Admin-Passwort in Identity-Konsole ermöglicht Fernzugriff aufs Auto" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Default-Admin-Passwort in Identity-Konsole ermöglicht Fernzugriff aufs Auto« bei Google Deutschland suchen, bei Bing oder Google News!