研究人員揭露豐田汽車全球供應商管理平臺漏洞

研究人員發現日本汽車大廠豐田（Toyota）的供應商管理網站存在一個單用電子郵件信箱，就能冒名存取的重大漏洞。豐田汽車已經完成漏洞修補。

美國研究人員Eaton Zveare是在豐田的全球供應商備料資訊管理系統（Global Supplier Preparation Information Management System，GSPIMS）上發現這項漏洞。GSPIMS（下圖）是北美業者SHI為豐田開發的Angular-based單頁式應用程式。漏洞出在GSPIMS對使用者登入驗證的JWT實作。JWT一般在用戶登入網站時輸入電子郵件和密碼後，網站派發給用戶的憑證，用戶提供JWT給網站或API以證明自己的身份。

圖片來源／Eaton Zveare

研究人員發現GSPIMS一項名為「Act As」的功能中，只要提供電子郵件，不需密碼就能觸發回傳JWT。意謂著他只要輸入有效的豐田員工電子郵件即能取得JWT。同時間，研究人員發現豐田汽車北美員工的電子郵件格式具備可預測性，是以「名.姓@toyota.com」為格式。他稍微網路搜尋一下，就得到可能具有GSPIMS系統存取權限員工的電子郵件，並以此獲得GSPIMS的有效JWT，完全跳過豐田汽車的公司登入驗證流程。他冒充該員工成功登入GSPIMS，並透過搜尋聯絡人功能找到系統管理員。由此研究人員取得系統管理員JWT，成功登入及控制整個GSPIMS系統。

研究人員最後得以存取涵括北美、歐洲、亞洲及日本員工超過1.4萬用戶，並且存取500多個網頁，包括帳號資料、機密文件、專案、供應商層級等資訊。

連同這項漏洞，Zveare於去年11月初通報豐田汽車4項漏洞，後者及SHI於11月底證實已經修補。