研究员披露车企ForgeRock默认口令漏洞，可远程解锁启动汽车

安全研究人员 Shubham Shah 与 Sam Curry 披露，两家车企移动应用的登录系统可被完全接管：其 ForgeRock（现属 Ping Identity）身份服务器上 OpenIDM 的 Apache Felix 管理控制台仍使用默认 admin:admin 口令。攻击者借边缘与后端路径解析差异绕过封锁后，可篡改任意客户账户的邮箱和密码、获取访问令牌；对拥有联网汽车的用户，还能解锁车门并启动发动机。 两人在 2026 年 2 月仅对位于美国、自己及获车主同意的车辆测试了完整攻击链，报告后两个品牌均在大约两小时内修复。研究人员称，问题出在品牌部署 ForgeRock 的方式，而非产品新漏洞，因此没有对应的 CVE 编号和厂商公告。

AI 根据报道生成 · 6 小时前更新