研究人员披露ForgeRock认证漏洞 两车企已修复

据 digitaltoday.co.kr 报道，安全研究人员 Shubham Shah 与 Sam Curry 披露了身份认证平台 ForgeRock 中的多处漏洞。该平台被两家汽车制造商使用，漏洞可导致攻击者绕过正常认证，获得与车主相同的远程控制权限。

研究人员在获得车主同意的情况下，对车辆进行了开锁和发动机启停测试，并能够查看车辆位置、行驶里程和油量信息。受影响车辆的认证系统涉及美国、加拿大、澳大利亚等地区。

在澳大利亚，研究人员发现了一条攻击路径：通过车牌查出车辆识别码（VIN），据此定位车主账户，修改账户密码后即可发送远程指令。漏洞成因包括配置不当暴露了管理员访问路径，以及部分系统保留了默认管理员密码。

研究人员于2026年初向两家公司报告了上述问题，两家公司在收到报告约两小时后完成修复并更新了相关凭据。研究结果于7日公布。

两家汽车制造商均未被点名。网络社区根据演示视频推测涉及丰田汽车与 Lexus，但这一说法未获证实。