車両認証基盤に脆弱性、研究者が公開
ForgeRockを使う自動車2社の認証システムに設定不備が見つかり、研究者が遠隔操作を実証。各社は2026年初頭に修正済み。
セキュリティ研究者のShubham Shah氏とSam Curry氏は、自動車メーカー2社が使用する認証プラットフォームForgeRockに複数の脆弱性があったと公開した。調査結果は7日に公表された。デジタルトゥデイが伝えた。
設定の不備により管理者権限への経路が露出し、一部のシステムでは初期の管理者パスワードが残っていた。研究者は通常の認証を回避し、車両所有者と同じ遠隔操作の権限を取得した。
研究者は所有者の同意を得た車両でドアの解錠やエンジンの始動・停止を試し、位置情報や走行距離、燃料残量も閲覧できた。オーストラリアでは、ナンバープレートから車台番号（VIN）を割り出して所有者アカウントを特定し、パスワードを変更して遠隔指令を送る攻撃経路も確認された。
影響を受けた認証システムは米国、カナダ、オーストラリアなどの車両に関連していた。対象の2社は名前を明らかにされておらず、デモ映像からトヨタ自動車やLexusを推測するコミュニティの声は確認されていない。
研究者は2026年初頭に脆弱性を報告し、2社は約2時間後に修正して認証情報を更新したという。
よくある質問
どのような脆弱性でしたか？
ForgeRockの設定不備により、研究者が通常の認証を回避して車両所有者と同じ遠隔操作権限を取得できた。ドアの解錠やエンジンの始動・停止、位置情報の閲覧が可能だった。
対象の自動車メーカーはどこですか？
2社とされているが名前は公表されていない。デモ映像からトヨタ自動車やLexusを推測する声はコミュニティで出ているが確認されていない。
修正は済んでいますか？
研究者が2026年初頭に報告した後、2社は約2時間で修正し認証情報を更新した。