Un grupo de investigadores descubrió una cadena de vulnerabilidades que permitía ejecutar código en servidores de producción de ForgeRock pertenecientes a dos fabricantes de automóviles. Mediante el uso de credenciales predeterminadas (admin:admin), los expertos lograron desbloquear vehículos remotamente, acceder a su ubicación y enviar comandos al motor. Estos fallos, detectados a principios de 2026 y revelados el 7 de noviembre, fueron identificados mediante una investigación de seguridad controlada.

Unos investigadores utilizaron las credenciales predeterminadas admin:admin como parte de una cadena de vulnerabilidades que les permitió ejecutar código en los servidores de producción de ForgeRock de dos fabricantes de automóviles y desbloquear remotamente coches conectados.

Descubiertos a principios de 2026 y revelados el 7 de noviembre, los fallos también expusieron la ubicación de los vehículos y permitieron enviar comandos remotos al motor.

Los hallazgos provinieron de una investigación de seguridad controlada, no de una campaña criminal reportada. Ambos fabricantes, que permanecen en el anonimato, solucionaron el problema en unas dos horas tras recibir el informe y rotaron las credenciales afectadas. Sus sistemas de identidad daban servicio a múltiples regiones, pero los investigadores probaron la cadena completa de toma de control de cuentas y acceso a vehículos únicamente con cuentas y vehículos de EE. UU.

Cadena de ataque de ForgeRock

La investigación comenzó con las aplicaciones de Android utilizadas por los propietarios de los vehículos. Ambas aplicaciones dependían de ForgeRock Access Management para las sesiones de inicio de sesión y de OpenIDM para los registros de clientes. El rastreo de una solicitud de validación de correo electrónico llevó a los investigadores hacia los servicios administrativos, incluida la consola web de Apache Felix que se ejecuta junto a OpenIDM.

Un firewall de aplicaciones web bloqueaba las solicitudes directas a esos servicios. Sin embargo, rutas especialmente codificadas hacían que las solicitudes parecieran dirigidas a archivos estáticos, mientras que Jetty, el servidor web de backend, las interpretaba como solicitudes de consola. Este desajuste en el manejo de las URL expuso la interfaz de gestión oculta, donde el nombre de usuario y la contraseña predeterminados documentados todavía funcionaban.

El acceso a la interfaz ConfigMgr de Felix permitió a los investigadores crear una tarea programada de OpenIDM que ejecutaba código Groovy. La utilizaron para instalar un pequeño componente de Java dentro del servicio en ejecución, lo que les proporcionó un punto final de comando controlado. Esto confirmó la ejecución remota de código dentro del proceso de identidad de producción, en lugar de dentro de los propios coches.

Del acceso al servidor a los comandos del vehículo

Según el informe técnico de los investigadores, el acceso al servidor expuso credenciales administrativas que permitían realizar solicitudes locales a los registros de los clientes. El equipo cambió el correo electrónico y la contraseña de una cuenta de prueba, recibió sus códigos de verificación y completó el proceso normal de inicio de sesión. Luego, intercambiaron la sesión por tokens aceptados por las API del vehículo.

Esos tokens expusieron los vehículos de la cuenta, su ubicación, estado y los controles remotos compatibles. Con el propietario al lado del vehículo de prueba, Shah confirmó el desbloqueo, el arranque del motor, el apagado del motor y el bloqueo.

Restaurar el correo electrónico original no canceló los nuevos tokens. Estos hallazgos siguen a investigaciones anteriores sobre el acceso remoto de Kia y los fallos de seguridad de Subaru STARLINK.

La guía de endurecimiento de producción de Ping Identity ya aconseja eliminar o proteger la consola de Felix y cambiar sus credenciales predeterminadas. También advierte que la autenticación de la consola es independiente de la autenticación de IDM. El caso demuestra por qué bloquear las URL administrativas en un firewall no puede sustituir la seguridad del servicio que hay detrás, especialmente cuando ese servicio controla la identidad del cliente y el acceso a vehículos conectados.