Volvo/Eicherのフリートプラットフォームを悪用し、全ユーザー/車両の制御を奪う

Volvo/Eicherのフリート管理プラットフォームを悪用し、全ユーザーと車両の制御を奪う Eaton • 2026年7月27日 コピーリンク共有 主要なポイント / 要約 VE Commercial Vehiclesは、Volvo GroupとEicher Motorsの合弁会社であり、インドの商用車顧客向けにMy Eicherというフリート管理システムを構築・保守しています。 「My Eicherは、商用車オーナー、フリートマネージャー、オペレーター向けに設計された完全なフリート管理および車両GPS追跡システムです。当社の高度なテレマティクスプラットフォームにより、これまで以上にフリートを管理できます。」 APIに脆弱性が発見され、隠された認証不要な内部/管理者APIを発見することが可能になりました。これらのAPIは、システムへの高レベルアクセスを取得し、アカウント乗っ取りを可能にするために使用できました。 アカウント乗っ取りにより、数百台の車両からなる個人（または企業）の全フリートを制御できるようになりました。 公開されたデータ（数値） 2024年11月現在、275,000台の車両と115,000人の顧客が登録されていると発表されました。 APIから取得されたこれらの数値の一部が大幅に高い理由は不明です。 748,000人の顧客 174,000人のユーザー 186,000人の個人 676,000台の車両 76,000件のドキュメント（Aadhaarカード、運転免許証など） 私の次のブロックバスター自動車ハックへようこそ！これは、2024年初頭のトヨタ保険会社ハックの開示に端を発し、長い時間をかけて取り組んできたものです。 豆知識：実は当時、My Eicherの脆弱性を探していたのですが、成功しませんでした。1年以上後の2025年になって、My Eicherを完全に解き明かすブレークスルーに出くわしました。 My Eicher インド在住でない限り、おそらくMy Eicherという名前を聞いたことがないでしょう。 これは、商用車顧客がトラックやバスのフリートを追跡および管理できるアプリ/ウェブサイトです。 リアルタイムで車両を追跡したり、ライブゲージクラスターを表示したり、ジオフェンスを設定したり、その他多くの楽しいことができます。 ウェブサイトはこちら、AndroidおよびiPhoneアプリもあります。 ここで開示されている脆弱性は、インドの商用車と顧客のみに影響します。 幸運なブレークスルー この脆弱性は信じられないほどシンプルで、純粋な運によって発見されました。 ホームページで使用されている、携帯電話番号を確認するためのAPIはこちらです： https://www.myeicher.in/cepauthmgr/user/validateMobileNo ウェブサイトのJavaScriptには、他にも多くのAPIがあります。 他にも興味深いものはいくつかありましたが、プラットフォーム全体をハッキングするために使用できるものはありませんでした。 そして、ある日、ランダムにブラウザでこのエンドポイントにアクセスしてみました： https://www.myeicher.in/cepauthmgr/user/ 99%の場合、APIパスを上にたどるとHTTPエラーが発生します。 今回は、ユーザー関連のすべてのAPIの大きなリストが表示されました： 完全なリストはこちらで見ることができます。 さらに良いことに、それらは認証されていませんでした！ 「customers」エンドポイントを見つけ、748,000人の顧客の巨大なリストが表示されました： 「users」や「persons」もありました： パスワードさえ返されました。ただし、暗号化されていたため、使用できませんでした。 それでも、これは大きなブレークスルーでした – このシステムを使用している人々を見つけることは、もはや困難ではありませんでした。 これらのAPIにより、アカウントの完全なリストが得られました。 ログインに関する脆弱性があれば、ここにいる全員にとってゲームオーバーでした。 あなたのOTPはすべて私のものです 私の運はさらに続きました：2021年まで遡る250万件のOTPの完全なリストを返すAPIがありました： 特定の携帯電話番号のOTPを返す、より具体的なAPIもありました： どこに向かっているのか、おそらく推測できるでしょう。 アカウント乗っ取りの準備が整いました！ ステップ1：ユーザーリストから携帯電話番号を選択し、OTPを送信します。 私は大手のエンジニアリング会社にリンクされた番号を選びました。 ステップ2：APIを使用して、携帯電話番号のOTPを見つけます： ステップ3：それを入力します。 この手法により、あらゆるユーザーアカウントを完全に制御できるようになり、ひいては車両/フリートも制御できるようになりました。 このすべてによる副作用は、OTPを実際に送信することで相手に通知してしまうため、残念ながらサイレントなアカウント乗っ取りではありません。 しかし、2番目のアカウント乗っ取り方法がありました！ アカウントのパスワードを更新するためのAPIがあったため、パスワードを設定してからログインすることができました。 ユーザーはおそらく通知されませんが、私は100％確信していません。 探索 アクセスできた内容を文書化した追加のスクリーンショットをいくつか示します。 これは車両APIからの応答です。 676,000台ありました！ これは、すべての車両を追跡できるマップです： 特定の車両の個別の追跡詳細はこちらです： ライブ車両クラスター。これは、ドライバーが見ているものを代表するものとされています： 他にも多くの機能があります： 機密データ さらに悪化します！ ドキュメントに関連するAPIがいくつかあり、76,000件のドキュメントと画像が公開されました。 これには、Aadhaarカードや運転免許証などの非常に機密性の高いIDドキュメントが含まれます。 タイムライン 過去にVECVに脆弱性を報告した人を見つけ、その人のインフォセキュリティメールアドレスを入手しました。 2025年11月3日：報告しました。 2025年11月10日：応答なし、フォローアップしました。 2025年11月17日：応答なし、フォローアップし、スレッドに追加の人をCCしました。 2025年11月20日：内部APIへのアクセスが不可能になりました。主な脆弱性は修正されました。 2026年7月27日：公開しました。 2025年11月以降、彼らに伝えようとした追加の懸念事項がいくつかありましたが、それらを調査するのに十分な関心を持つ人に連絡を取ることはできませんでした。 数ヶ月待っても、これらの他の懸念事項は諦めました。 少なくとも主な脆弱性は修正されました。