Безбедносни истражувачи откриле низа слабости во Android апликациите на два големи производители на автомобили, кои во одредени услови овозможувале далечинско испраќање команди до поврзани возила. Преку пронајдените пропусти било можно отклучување автомобили, стартување на моторот, активирање на сирената и трепкање на светлата.

Истражувањето го спровеле Шубам Шах од Assetnote и безбедносниот истражувач Сем Кари. Тие развиле одделни патеки за напад врз системи што се користеле во Австралија и во САД. Идентитетот на производителите не е објавен, по нивно барање.

Во австралиската верзија на апликацијата, истражувачите најпрво доаѓале до идентификациски броеви на возила преку јавно достапни сервиси за проверка на регистарски таблички. Потоа, со барања до внатрешни програмски интерфејси, можеле да добијат лични податоци и е-поштенски адреси на сопственици.

Дополнителен проблем биле административни податоци за пристап вградени во апликацијата. Тие првично биле наменети за тест-околина, но функционирале и во продукцискиот систем. По заобиколување на заштитниот веб-филтер со пропуст поврзан со манипулација на патеки, истражувачите добиле пристап до внатрешни административни интерфејси.

Тоа им овозможило да преземат кориснички сметки со користење на е-поштенска адреса, да создаваат токени за најава и да испраќаат команди до возилата преку мобилната апликација.

Патеката за напад врз американскиот систем била посложена, но повторно вклучувала заобиколување на веб-филтерот. Истражувачите искористиле конфузија во обработката на патеките за да стигнат до административната конзола Apache Felix. Со фабрички поставени кориснички податоци добиле администраторски привилегии, а потоа пристапиле до серверите на системот за управување со идентитети и до корисничките податоци.

Според временската линија на објавувањето, производителите биле известени во почетокот на 2026 година, а пријавените пропусти биле поправени во рок од два часа. На интернет се појавија претпоставки дека едно од возилата во демонстрацијата е Toyota, односно дека вториот производител е Lexus, но тоа не е потврдено.