Мобилните приложения iRA 2.0 и iRA.ev на Tata Motors съдържат четири уязвимости в сигурността, които могат да позволят на атакуващи да откраднат идентификационни данни, да се представят за собственици на автомобили и да получат достъп до услуги за превозните средства. Индийският екип за реагиране при компютърни инциденти, CERT-In, оцени проблемите като високорискови (High) в бюлетин за сигурност, публикуван на 4 ноември 2026 г.
Предупреждението обхваща iRA 2.0 версии 26.7.3 и по-ранни, както и iRA.ev версии 26.7.2 и по-ранни. Тези приложения обслужват клиенти на бензинови, дизелови и електрически превозни средства, като предоставят дистанционни команди за автомобила, проверки на състоянието, мониторинг на изправността и информация за пътуванията. CERT-In приписва заслугата за докладването на уязвимостите на изследователя по сигурността Пранав Раджендран (Pranav Rajendran).
Вградени идентификационни данни и откраднати токени
Първата уязвимост, CVE-2026-121144, включва идентификационни данни за сервизни акаунти, API ключове и токени за оторизация, съхранявани вътре в пакета на приложението. Атакуващият не се нуждае от влизане в профил, за да изтегли пакета и да извлече тези тайни. Проблемът отразява рискове, разгледани по-рано в репортажите на Cybersecurity News относно твърдо кодирани идентификационни данни в мобилни приложения.
Тези изложени на риск идентификационни данни биха могли да осигурят достъп до бекенд услуги, потенциално позволявайки кражба на данни или неоторизирани операции. Тази слабост е от значение, тъй като чувствителната информация идва от самото разпространявано приложение. Атакуващият няма нужда първо да открадне паролата на конкретен собственик, за да извлече вградените идентификационни данни.
CVE-2026-121145 засяга WebView — компонента, който показва уеб съдържание вътре в приложенията. Недостатъчните проверки на заредените URL адреси и техния произход могат да позволят на злонамерено съдържание да взаимодейства с функциите на приложението и да придобие активни bearer токени за удостоверяване. След това атакуващият може да злоупотреби с тези токени, за да се представи за съответния собственик.
Според бюлетина на CERT-In, CVE-2026-121146 разкрива токени за удостоверяване чрез системни журнали (логове) на приложението, използвани за разработка и отстраняване на грешки. Експлоатирането изисква локален достъп до тези журнали. Атакуващ, който извлече разкритите сесийни токени, може да злоупотреби с тях за достъп до информация и услуги за превозното средство от името на засегнатия потребител.
Четвъртата уязвимост, CVE-2026-121147, включва неправилно внедряване на фиксиране на SSL сертификати (SSL certificate pinning) в конфигурацията за мрежова сигурност. От CERT-In посочват, че произтичащите от това защитни механизми са неефективни. Атакуващ в позиция да прихваща мрежов трафик може да експлоатира слабостта, за да следи или променя комуникацията между мобилното приложение и неговите бекенд услуги.
Разкритията подчертават как сигурността на свързаните превозни средства зависи от мобилните приложения и поддържащите сървъри, а не само от хардуера на автомобила. По-ранни изследвания на уязвимости в автомобилните API документираха отделни слабости, засягащи услугите за превозни средства при няколко производители. Тези констатации предоставят контекст, но техните специфични въздействия върху управлението на превозното средство не трябва да се приемат по подразбиране за Tata Motors.
Налични са коригирани версии
CERT-In съветва засегнатите потребители да обновят iRA 2.0 до версия 26.8.2 и iRA.ev до версия 26.9.1. Бюлетинът съдържа връзки към официалните страници в Google Play и Apple App Store и за двете приложения. Инсталирането на препоръчаната версия е посоченото от агенцията решение за отстраняване на тези уязвимости.
В бюлетина не се съобщава за активно експлоатиране, не се идентифицират засегнати модели превозни средства, нито се потвърждава, че атакуващи са демонстрирали контрол върху специфични функции за шофиране. Посочените рискове засягат чувствителна информация, представяне под чужда самоличност и неоторизирани промени на данни с помощта на привилегиите на собственика. Това разграничение запазва фокуса на предупреждението върху документираните слабости в приложението, а не върху непотвърдени твърдения за превземане на превозни средства.