主要观点：2024 年 11 月 20 日，Shubham Shah 和作者发现 Subaru 的 STARLINK 车载服务存在安全漏洞，可获取美、加、日车辆和客户账户的无限制定向访问权限。
关键信息：

• 利用漏洞可远程控制车辆（启动、停止、锁定、解锁、获取位置等）、获取客户个人信息（PII）及其他用户数据。
• 漏洞发现过程：从测试 MySubaru 移动应用无果后，通过 Discord 找到 Subaru 相关网站，发现 Subaru Admin Panel，进而在其中找到任意账户接管漏洞，枚举员工邮箱，绕过 2FA，获取车辆位置历史等信息。
• 漏洞修复及相关时间线：11 月 21 日 4 点修复漏洞，11 月 20 日 11 点 54 分报告，1 月 23 日发布博客。
  重要细节：
• 如通过代理 MySubaru 应用拦截请求未找到漏洞，后发现“subarucs.com”域名及相关 STARLINK Admin Portal。
• 找到“resetPassword.json”端点可重置员工账户，通过“getSecurityQuestion.json”端点枚举用户邮箱。
• 成功接管员工账户并绕过 2FA，获取妈妈一年的车辆位置历史，还通过朋友车牌添加自己为授权用户并成功解锁车辆，且对方未收到通知。
• 作者认为汽车行业系统默认的广泛访问权限导致系统难以真正安全，最后感谢多位帮助撰写和审核的人。