A equipe indiana de resposta a emergências cibernéticas (CERT-In) identificou uma série de problemas de segurança em certas versões dos aplicativos para veículos conectados Tata Motors iRA 2.0 e iRA.ev.
Essas vulnerabilidades podem potencialmente permitir que invasores extraiam credenciais confidenciais, acessem informações e serviços relacionados ao veículo, se passem por usuários e alterem dados do aplicativo sem a devida autorização.
Em um alerta de vulnerabilidade emitido na terça-feira, o CERT-In classificou essas falhas como de severidade 'Alta'. As versões afetadas incluem Tata Motors iRA 2.0 versão 26.7.3 e anteriores, bem como iRA.ev versão 26.7.2 e anteriores.
O CERT-In recomenda enfaticamente que os usuários atualizem os aplicativos afetados para as versões iRA 2.0 versão 26.8.2 e iRA.ev versão 26.9.1 para corrigir os problemas identificados.
Quatro vulnerabilidades descobertas nos aplicativos
Especialistas do CERT-In identificaram quatro tipos de vulnerabilidades relacionadas ao armazenamento de credenciais, verificação de conteúdo web, processamento de tokens de autenticação e segurança da comunicação entre os aplicativos e os serviços de servidor.
A primeira vulnerabilidade está relacionada a credenciais codificadas embutidas nos aplicativos. O CERT-In explicou isso como 'presença de credenciais de conta de serviço codificadas, chaves de API e tokens de autorização dentro do pacote do aplicativo'. Um invasor remoto sem autenticação pode baixar o pacote do aplicativo e extrair essas informações para acessar os serviços de servidor correspondentes, o que pode levar à divulgação de informações confidenciais ou à execução de operações não autorizadas.
O segundo problema diz respeito à verificação insuficiente de URLs e fontes carregadas através do componente WebView nos aplicativos. A causa foi determinada como 'verificação insuficiente de URLs e fontes carregadas dentro do componente WebView'. Um invasor pode enviar conteúdo web malicioso para o WebView afetado, potencialmente obter tokens de autenticação ativos e se passar por usuários para acessar dados e serviços relacionados ao veículo.
A terceira vulnerabilidade está relacionada ao fato de que os tokens de autenticação são gravados nos logs do aplicativo usados para desenvolvimento e depuração. O CERT-In indicou que a causa é 'registro de tokens de autenticação nos logs do aplicativo usados para desenvolvimento e depuração'. Um invasor local com acesso a esses logs pode extrair e usar os tokens de sessão expostos para falsificar usuários e obter acesso não autorizado a informações e serviços relacionados ao veículo.
A quarta vulnerabilidade refere-se às configurações de segurança de rede nos aplicativos, relativas ao pinning de certificados SSL. O CERT-In observou 'implementação incorreta do pinning de certificado SSL na configuração de segurança de rede'. Isso pode permitir que um invasor que esteja em posição de interceptar o tráfego de rede intercepte ou modifique a comunicação entre os aplicativos e seus serviços de servidor.
Os aplicativos fornecem acesso aos recursos do veículo conectado
Os aplicativos iRA 2.0 e iRA.ev são destinados a clientes de motores de combustão interna (ICE) e veículos elétricos, respectivamente. Esses aplicativos fornecem acesso a serviços de veículo conectado, incluindo comandos remotos para o veículo, estado do veículo, monitoramento de saúde e informações de viagem. A avaliação do CERT-In alerta que a exploração bem-sucedida dessas vulnerabilidades pode permitir que invasores acessem e alterem dados usando privilégios de usuário falsificado.
