物联网厂商 CalAmp 服务器配置错误，黑客可盗窃数据，开车走人

雷锋网消息，据外媒美国时间 5 月 20 日报道，安全研究人员发现，CalAmp（一家为多个知名系统提供后端服务的公司）运营的一台服务器因为错误配置，黑客可借助该漏洞接入账号数据，甚至直接接管相关车辆。

发现该问题时，安全专家 Vangelis Stykas 和 George Lavdanis 正在搜寻 Viper SmartStart 系统中的安全漏洞，这是一款让用户能远程启动、锁闭、解锁或定位车辆的设备，有了它，用户只需操作手机中的应用就能直接完成上述操作。

与其他移动应用类似，这套系统用了 SSL 和证书锁定（Certificate Pinning，已知其服务器用上了硬编码）安全连接来自动拒绝那些提供虚假 SSL 认证连接的网站。

不过两位安全专家指出，该应用不但会连接到 mysmartstart.com 的域名，还会连接第三方域名（https://colt.calamp-ts.com/，即 Calamp.com Lender Outlook 服务）。只要使用 Viper 应用生成的用户凭证，谁都能登陆控制台。

“该控制台看起来是 Calamp.com Lender Outlook 服务的前端，我们试着用 Viper 生成的用户凭证登陆，居然成功了。”安全专家 Stykas 在一篇博文中写道。“显然，这是那些拥有多个子账户和大批车辆需要控制公司的控制台。”

进一步测试后，研究人员确认了一点，那就是这套系统的入口还是安全的。不过，在评估中他们却发现，各种报告其实是来自另一台专用服务器，它负责运行的是 tibco jasperreports 软件。

这还是两位专家第一次分析这种类型的服务器。移除所有参数后，他们发现，自己居然以用户身份登陆了，虽然权限受限，但已经可以接入许多报告了。

“我们不得不运行所有报告，并且发现前端根本就没有审核用户 ID，而是选择自动让其通过。不过，现在我们得从控制台提供 ID 作为输入项。当然，我们可以选择想要的任意数字。”

一番研究后他们发现，自己已经可以接入所有车辆的所有报告了（包括位置记录），而且只要知道了用户名，就能直接接入数据源（密码做了伪装处理，所以无法导出）。同时，借助服务器还能轻松复制和编辑现有报告。

“我们无法创建报告、AdHoc 无线网络或其它项目，不过我们能对现有内容进行复制粘贴和编辑，这也就意味着我们已经大权在握。此外，我们还能在报告中加入任意的 XSS 来窃取信息。当然，这是正派人士所不齿的。”上述专家说。

雷锋网了解到，掌握了服务器上的生产数据库后，研究人员就能通过移动应用接管用户账户。如果黑客知道了某账户的密码（老密码），就能直接定位车辆并开车走人。

两位专家指出，这一漏洞可能导致下列严重后果：

1. 黑客只需修改用户密码，就能直接解锁并开走车辆；

2. 拿到所有位置记录报告；

3. 在某人开车时直接关掉车辆引擎；

4. 远程操控开启引擎；

5. 拿到所有用户的数据；

6. 通过应用拿到总线信息；

7. 从连接数据库拿到 IoT 设备的数据或重设密码。这也就意味着黑客手中能掌握千万种可能。

据悉，两位专家本月月初就将问题反映给了 CalAmp，而后者在十天内就将问题彻底解决。

雷锋网 Via.

Security Affairs