Une porte dérobée découverte dans le réseau de gestion des fournisseurs de Toyota

Un chercheur en sécurité a découvert une grave faille de sécurité qui mettait en danger les données des fournisseurs et des utilisateurs de Toyota. Plus précisément, il a remarqué une porte dérobée dans le réseau de gestion des fournisseurs de Toyota exposant des détails sensibles. À la suite de son rapport, Toyota a rapidement résolu le problème, empêchant tout exploit malveillant.

Toyota Supplier Management Network Backdoor Expose des données sensibles

Le chercheur Eaton Zveare a récemment partagé des détails sur une porte dérobée dans le réseau de gestion des fournisseurs qui a mis en danger la sécurité des fournisseurs de Toyota.

Comme expliqué dans son postela porte dérobée existait dans le système mondial de gestion des informations sur la préparation des fournisseurs (GSPIMS) de Toyota, exploitant ce qui pourrait permettre à un attaquant d’accéder aux détails sensibles des fournisseurs de l’entreprise et d’autres utilisateurs.

En bref, lors de la numérisation des sous-domaines du site Web de Toyota, il a remarqué qu’il pouvait se connecter à l’application GSPIMS en tant que fournisseur ou utilisateur d’entreprise via l’adresse e-mail.

Avec quelques efforts, comme patcher les gardes de route angulaires CanActivate et CanActivateChild rendre true et en supprimant le code de déconnexion sur le code source de la page Web, Zveare a accédé à l’application en utilisant l’adresse e-mail d’un administrateur système.

Scanner le code lui a fait réaliser le problème. L’application a généré un jeton Web JSON (JWT) basé uniquement sur l’e-mail fourni, sans nécessiter de mot de passe. Puisqu’il s’était connecté avec un e-mail d’administrateur système, il a finalement obtenu (ce qu’il a appelé) un «contrôle total et global» sur le système.

Avec un tel accès explicite, il pouvait voir les détails de plus de 14 000 utilisateurs, les détails de tous les projets inactifs, actifs et mondiaux de Toyota (avec des noms de code), les calendriers de projet, les documents confidentiels et les détails sur 3 000 fournisseurs de Toyota.

Dans son article, le chercheur a partagé les détails techniques de cette vulnérabilité, ainsi que des captures d’écran.

Toyota a abordé l’exposition injustifiée des données

En examinant le réseau de gestion des fournisseurs, le chercheur s’est assuré de ne modifier aucune information qui pourrait troubler Toyota.

Après avoir confirmé la porte dérobée, il a signalé l’affaire à l’entreprise, et l’entreprise a rapidement corrigé le problème. Expliquant le patch, le chercheur a déclaré,

Toyota/SHI a résolu le problème en rendant le createJWT et findByEmail les points de terminaison renvoient le statut HTTP 400 – Bad Request dans tous les cas.

En plus de confirmer le correctif, le chercheur a apprécié l’action rapide de Toyota pour corriger la faille.

Faites-nous part de vos réflexions dans les commentaires.