Индийская команда реагирования на компьютерные чрезвычайные ситуации (CERT-In) выявила ряд проблем с безопасностью в определенных версиях приложений для подключенных транспортных средств Tata Motors iRA 2.0 и iRA.ev.
Эти уязвимости потенциально могут дать злоумышленникам возможность извлекать конфиденциальные учетные данные, получать доступ к информации и услугам, связанным с автомобилем, выдавать себя за пользователей и изменять данные приложения без должного разрешения.
В предупреждении об уязвимостях, выпущенном во вторник, CERT-In присвоил этим недостаткам рейтинг серьезности «Высокий». Затронутые версии включают Tata Motors iRA 2.0 версии 26.7.3 и более ранние, а также iRA.ev версии 26.7.2 и более ранние.
CERT-In настоятельно рекомендует пользователям обновлять затронутые приложения до версий iRA 2.0 версии 26.8.2 и iRA.ev версии 26.9.1 для устранения выявленных проблем.
Четыре обнаруженные уязвимости в приложениях
Эксперты CERT-In определили четыре типа уязвимостей, касающихся хранения учетных данных, проверки веб-контента, обработки токенов аутентификации и безопасности связи между приложениями и серверными службами.
Первая уязвимость связана с жестко закодированными учетными данными в приложениях. CERT-In объяснил это «присутствием жестко закодированных учетных данных сервисного аккаунта, ключей API и токенов авторизации внутри пакета приложения». Удаленный злоумышленник без аутентификации может загрузить пакет приложения и извлечь эту информацию для получения доступа к соответствующим серверным службам, что может привести к раскрытию конфиденциальной информации или разрешению несанкционированных операций.
Вторая проблема касается недостаточной проверки URL-адресов и источников, загружаемых через компонент WebView в приложениях. Причиной этого было определено «недостаточное подтверждение URL-адресов и источников, загруженных внутри компонента WebView». Злоумышленник может отправить вредоносный веб-контент в затронутый WebView, потенциально получить активные токены аутентификации и выдавать себя за пользователей для доступа к данным и услугам, связанным с автомобилем.
Третья уязвимость связана с тем, что токены аутентификации записываются в журналы приложения, используемые для разработки и отладки. CERT-In указал, что причиной является «запись токенов аутентификации в журналах приложения, используемых для разработки и отладки». Местный злоумышленник, имеющий доступ к этим журналам, может извлечь и использовать раскрытые сессионные токены для подмены пользователей и получения несанкционированного доступа к информации и услугам, связанным с автомобилем.
Четвертая уязвимость относится к настройкам сетевой безопасности в приложениях, касающимся закрепления SSL-сертификата. CERT-In отметил «неправильную реализацию закрепления SSL-сертификата в конфигурации сетевой безопасности». Это может позволить злоумышленнику, находящемуся в позиции перехвата сетевого трафика, перехватить или изменить связь между приложениями и их серверными службами.
Приложения предоставляют доступ к функциям подключенного автомобиля
Приложения iRA 2.0 и iRA.ev предназначены для клиентов двигателей внутреннего сгорания (ICE) и электрических транспортных средств соответственно. Эти приложения обеспечивают доступ к услугам подключенного автомобиля, включая дистанционные команды на автомобиль, состояние транспортного средства, мониторинг здоровья и информацию о поездках. Оценка CERT-In предупреждает, что успешная эксплуатация этих уязвимостей может позволить злоумышленникам получить доступ и изменить данные, используя привилегии подмененного пользователя.
