CERT-In обнаружил критические уязвимости в автомобильных приложениях Tata Motors

CERT-In указал на уязвимости в приложениях Tata Motors iRA 2.0 и iRA.ev

Проблемы позволяют извлекать чувствительные данные, получать токены авторизации и при определённых условиях обращаться к автомобильным сервисам. Tata Motors сообщает, что обновления уже выпущены, однако пользователям важно проверить установленную версию приложения.

Что нашло CERT-In

В предупреждении описаны сразу несколько технических проблем, поэтому обновление здесь действительно важно.

В пакет приложений были включены жёстко заданные учётные данные сервисных аккаунтов, API-ключи и токены авторизации. По оценке CERT-In, неаутентифицированный удалённый злоумышленник может скачать пакет приложения, извлечь эти данные и получить несанкционированный доступ к связанным серверным сервисам.

В компоненте WebView недостаточно проверялись загружаемые URL и их источники. Через это потенциально можно передать вредоносное веб-содержимое, получить действующие токены авторизации, impersonate пользователя и обращаться к информации об автомобиле.

Кроме того, токены авторизации записывались в журналы, которые использовались для разработки и отладки. Локальный злоумышленник с доступом к таким журналам может извлечь сессионные токены и использовать их от имени пользователя. Отдельная проблема связана с некорректной реализацией SSL certificate pinning: при перехвате сетевого трафика злоумышленник может перехватывать или изменять обмен данными между приложением и серверной частью.

Для обычного пользователя это выглядит как риск для аккаунта и связанной с автомобилем информации, хотя подтверждённых случаев использования этих уязвимостей в материалах источников не приводится.

Какие версии установить

CERT-In рекомендует обновить iRA 2.0 до версии 26.8.2, а iRA.ev до версии 26.9.1.

Tata Motors Passenger Vehicles сообщила, что эти обновления уже содержат исправления и дополнительные меры безопасности. Обязательные релизы 26.8.2 и 26.9.1 распространялись соответственно в августе и сентябре 2026 года. При открытии приложения пользователь должен увидеть запрос на обновление, которое устанавливается по воздуху за несколько минут.

По заявлению компании, обновления завершили все активные пользователи, а владельцев приложений, которые ещё не перешли на новые версии, компания продолжает уведомлять. Одновременно Tata Motors сообщила об отсутствии доказательств несанкционированного доступа к учётным данным, персональной информации или данным об автомобилях.

Что делать пользователю

Мой практический минимум прост: открыть приложение, установить рекомендованную версию и не откладывать обновление из-за того, что текущая работа с автомобилем выглядит нормально. Уязвимость относится к нескольким механизмам безопасности, поэтому привычный интерфейс не даёт понять, закрыт риск или нет.

Если обновление ещё не завершено, его стоит воспринимать как приоритетную задачу, особенно когда через приложение доступны сведения об автомобиле или аккаунт связан с пользовательскими сервисами. Для бизнеса это также вопрос операционной дисциплины: чем больше критичных функций сосредоточено в мобильном приложении, тем выше цена промедления с обновлениями безопасности.

При этом отсутствие подтверждённой компрометации данных снижает повод для паники, но не отменяет рекомендацию CERT-In. Практичный путь здесь один: проверить версию, завершить установку и убедиться, что приложение больше не показывает запрос на обновление.