Секреты для доступа к автомобильным сервисам Tata Motors оказались прямо внутри мобильных приложений. Индийская служба реагирования на компьютерные инциденты CERT-In 4 ноября предупредила о четырёх уязвимостях в iRA 2.0 и iRA.ev. Ошибки позволяли извлекать служебные ключи, получать токены авторизации и при определённых условиях действовать от имени владельца машины.
Приложение iRA 2.0 предназначено для автомобилей с двигателем внутреннего сгорания, а iRA.ev обслуживает электромобили. Через смартфон владельцы получают сведения о поездках, состоянии машины и работе её систем, а также отправляют удалённые команды. Уязвимыми признаны iRA 2.0 версии 26.7.3 и более ранние, а также iRA.ev версии 26.7.2 и более ранние.
Самая опасная ошибка, CVE-2026-121144 с оценкой 8,8 балла по CVSS 4.0, связана с хранением учётных данных прямо в установочном пакете. Внутри находились реквизиты служебных аккаунтов, ключи API и токены доступа. Посторонний мог скачать приложение, извлечь секреты без авторизации и попытаться обратиться к облачным сервисам Tata Motors с чужими правами.
Вторая уязвимость, CVE-2026-121145 с оценкой 7,1 балла по CVSS 4.0, затрагивала WebView, встроенный компонент для показа веб-страниц. Приложения недостаточно проверяли адреса и происхождение загруженного содержимого. Вредоносная страница могла получить действующий токен сеанса, после чего атакующий потенциально получал доступ к данным и функциям подключённого автомобиля.
Проблема CVE-2026-121146 получила 6,8 балла по CVSS 4.0. Приложения записывали токены авторизации в журналы для отладки. Злоумышленник с локальным доступом к журналам мог извлечь токены и попытаться выдать себя за пользователя. В отличие от извлечения встроенных ключей, такая атака требует доступа к логам конкретного устройства.
Ещё одна ошибка, CVE-2026-121147 с оценкой 8,5 балла по CVSS 4.0, ослабляла проверку сертификата сервера. Из-за неверной настройки механизма certificate pinning приложения не могли надёжно удостовериться, что общаются именно с инфраструктурой производителя. При возможности перехватить сетевой трафик атакующий мог бы читать или изменять передаваемые данные.
Найденные дефекты затрагивали не электронные блоки управления автомобилем, а приложения и связь с сервером. CERT-In описала возможный доступ к сведениям о машине, подключённым функциям и изменение данных с правами владельца. Подтверждённых случаев взлома автомобилей служба не привела. Ранее изучение телематики показало, какой объём данных машины передают через приложения и облако.
CERT-In рекомендовала обновить iRA 2.0 до версии 26.8.2, а iRA.ev до 26.9.1. Компания Tata Motors Passenger Vehicles 5 ноября заявила, что обязательные обновления вышли ещё в августе и сентябре 2026 года и установлены всем активным пользователям. Производитель связывается с остальными клиентами и утверждает, что не нашёл признаков доступа посторонних к учётным данным, личной информации или сведениям об автомобилях.