Beveiligingsonderzoekers hebben via een kwetsbaarheid in een portaal van de FIA toegang gekregen tot het paspoort en persoonlijke informatie van Max Verstappen. Het probleem werd afgelopen juni ontdekt en verholpen maar is nu bekendgemaakt. Om deel te kunnen nemen aan Formule 1-wedstrijden moeten coureurs beschikken over een FIA-superlicentie. De vergunning wordt door de FIA op aanvraag afgegeven en stelt verschillende eisen aan coureurs.

De FIA heeft ook een portaal waar autocoureurs een beoordeling kunnen aanvragen om aan andere wedstrijden dan F1-wedstrijden deel te nemen. Coureurs worden vervolgens door de FIA op basis van zaken als leeftijd en ervaring beoordeeld op vier niveaus: Platinum, Gold, Silver en Bronze. Het systeem verschilt van de FIA-superlicentie, maar veel F1-coureurs komen in beide systemen voor en ontvangen automatisch een Platinum-status omdat ze ook een actieve F1-superlicentie hebben.

Beveiligingsonderzoekers Gal Nagli, Sam Curry en Ian Carroll zijn bezig met onderzoek naar systemen van de Formule 1 en onderzochten het FIA-portaal, drivercategorisation.fia.com. Via het portaal konden de onderzoekers een account aanmaken, waarna het aanvraagproces volgt en er allerlei documenten moeten worden verstrekt. De onderzoekers ontdekten een eenvoudig HTTP PUT request dat wordt gebruikt voor het bijwerken van het profiel. In de JSON die in de response werd meegestuurd vonden de onderzoekers een aantal interessante waardes, waaronder een "roles" parameter.

In de JavaScript-code van de website zagen de onderzoekers dat er verschillende rollen zijn, waaronder die van administrator. Vervolgens wisten ze het juiste HTTP PUT request format te raden en dat te gebruiken om hun eigen rol aan te passen naar die van admin. Zo kregen de onderzoekers admin-toegang tot het portaal en konden allerlei persoonlijke informatie van autocoureurs inzien, waaronder wachtwoordhashes, e-mailadressen, telefoonnummers, paspoorten, cv's en alle gerelateerde persoonlijke informatie. Nadat de onderzoekers zagen dat ze ook het paspoort van Max Verstappen en andere informatie van de F1-coureur konden bekijken stopten ze met het onderzoek.

De FIA werd op 3 juni door de onderzoekers over het probleem ingelicht, waarna de website dezelfde dag nog offline werd gehaald. Drie dagen later was er een oplossing door de FIA uitgerold. Gisteren kwamen de drie onderzoekers met een blogposting waarin ze het probleem beschrijven.