安全研究員發現豐田全球供應商管理系統後門，可能暴露超過14000家供應商機密資訊

2月6日，一名安全研究員釋出了一篇部落格，聲稱其能夠入侵豐田的全球供應商準備資訊管理系統（GSPIMS，豐田的Web應用程式，供員工和供應商遠端登入並管理該公司的全球供應鏈）。

這位網名為EatonWorks的安全研究員寫道，他發現了豐田系統中的一個後門，只需要知道使用者的電子郵件就可以訪問現有使用者帳戶。在入侵測試中，研究人員發現他能夠自由訪問超過14000企業使用者的內部專案、供應商資訊、機密檔案等。

安全研究員在這過程中發現，GSPIMS應用程式根據使用者的電子郵件地址生成一個JSON Web令牌（JWT），用於無密碼登入。這意味著若是能猜到豐田員工的有效電子郵件地址，就有辦法生成有效的JWT。在那之後EatonWorks又透過利用系統API中的資訊洩露漏洞升級到系統管理員帳戶。

在文章末尾，安全研究員總結了幾條這個後門可能會導致的嚴重後果：

新增賬戶以在修復問題時保留訪問許可權；

下載並洩露資料；

刪除或修改資料以破壞豐田的全球運營；

利用竊取得到的機密資訊，對豐田供應商進行高針對性的網路釣魚活動。

無法確定在EatonWorks報告此問題之前，是否已經有人成功訪問豐田GSPIMS系統並複製了資料，但至少目前尚未出現相關資料洩露的報導。

安全研究員EatonWorks表示這些問題已於2022年11月3日向豐田披露，這家全球知名的日本汽車製造商確認它們已於2022年11月23日得到修復。EatonWorks在行業標準的90天披露期限結束後，釋出了關於此問題的詳細報告。

該安全研究員在部落格中還特別稱讚了豐田，說豐田是他所報告過安全問題的所有廠商中，響應最高效的，唯一感到遺憾的是，豐田沒有給予他任何的金錢獎勵。

編輯：左右裡

資訊來源：eaton-works

轉載請註明出處和本文連結

每日漲知識

暫存器地址（register address）

直接安裝在 CPU 上的非常小的儲存器位置。當 CPU 需要從其中一個暫存器獲得資訊來完成運算任務時，可以只使用暫存器地址來訪問資訊。

﹀

﹀

﹀