一名安全研究人员表示，他侵入了丰田的供应商管理网络，并能够访问与全球约3000家供应商和14000名用户相关的敏感数据。Eaton Zveare破坏了丰田员工和供应商用来协调项目的Web应用程序，其中包含有关零件、调查和采购的详细信息。在该系统上发现的著名合作伙伴和供应商包括米其林、大陆集团和史丹利百得。研究人员最终通过登录机制中的后门以系统管理员身份访问了这家日本汽车制造商的全球供应商准备信息管理系统(GSPIMS)。

Zveare说，恶意违规可能会暴露丰田员工对供应商的评论以及供应商按风险和其他变量的排名。

Zveare将丰田迅速修补的安全漏洞描述为“我发现的最严重的漏洞之一”。

漏洞利用之路始于修补GSPIMS中的JavaScript代码，GSPIMS是SHI International Corp代表丰田创建的Angular单页应用程序。

“开发人员通过实施CanActivate和CanActivateChild来控制对Angular路由/页面的访问，”Zveare在2月6日发表的博客文章中说。“基本上，当用户试图导航到一个路由/页面时，你会确定他们是否被允许查看它，然后返回true或false。通过修补两者以返回true，您通常可以完全解锁Angular应用程序。”

他补充说：“还需要删除注销代码，以防止重定向回登录页面。应用这些补丁后，应用程序就会加载并可以浏览。”

Zveare之前曾破解过Jacuzzi的SmartTub应用程序，然后通过createJWT HTTP请求利用后门，该请求交出了一个带有电子邮件的JSON Web令牌，但没有提供密码。

createJWT API用于“充当”功能，允许高特权用户以任何全局用户身份登录。

查找有效的电子邮件只需要对丰田人员进行一些谷歌搜索，因为丰田在北美使用一种可预测的格式(firstname.lastname@toyota.com)。

Zveare最初以具有“Mgmt – Purchasing”角色的用户身份登录，在用户/详细信息API响应中找到rolePrivileges节点，然后是详细说明用户经理的findByEmail API端点后，最终进入了SysAdmin。

根据应用程序中出现的其他选项卡，很明显“有了System Admin JWT，我基本上可以完全、全局地控制整个系统”，Zveare说。

因此，攻击者可能会删除、修改或泄露数据，并滥用这些数据来制作鱼叉式网络钓鱼活动。

Zveare建议，威胁行为者还可以“添加自己的用户帐户并提升角色，以便在问题被发现和修复时保留访问权限”。

研究人员于2022年11月3日提醒丰田注意后门，该汽车制造商在同一天做出回应，然后于11月23日确认问题已得到解决。

Toyota和SHI通过让createJWT和findByEmail端点在所有情况下都返回“HTTP状态400–错误请求”来解决这个问题。

“我很高兴丰田意识到问题的严重性并迅速解决了它，”“丰田是一家大公司，他们的安全团队似乎是为了有效解决公司各个方面的漏洞而设立的。

“赏金本来很好，但在这种情况下他们没有提供赏金。我希望他们将来会考虑改变这一点。认可总是值得赞赏的，但提供奖励是吸引顶尖人才并防止黑市利用的方式。”