Государственное агентство предупреждает об угрозе взлома автомобилей TATA

Индийская команда реагирования на компьютерные чрезвычайные ситуации (CERT-In) выявила ряд проблем с безопасностью в определенных версиях приложений для подключенных транспортных средств Tata Motors iRA 2.0 и iRA.ev.

Эти уязвимости потенциально могут дать злоумышленникам возможность извлекать конфиденциальные учетные данные, получать доступ к информации и услугам, связанным с автомобилем, выдавать себя за пользователей и изменять данные приложения без должного разрешения.

В предупреждении об уязвимостях, выпущенном во вторник, CERT-In присвоил этим недостаткам рейтинг серьезности «Высокий». Затронутые версии включают Tata Motors iRA 2.0 версии 26.7.3 и более ранние, а также iRA.ev версии 26.7.2 и более ранние.

CERT-In настоятельно рекомендует пользователям обновлять затронутые приложения до версий iRA 2.0 версии 26.8.2 и iRA.ev версии 26.9.1 для устранения выявленных проблем.

Четыре обнаруженные уязвимости в приложениях

Эксперты CERT-In определили четыре типа уязвимостей, касающихся хранения учетных данных, проверки веб-контента, обработки токенов аутентификации и безопасности связи между приложениями и серверными службами.

Первая уязвимость связана с жестко закодированными учетными данными в приложениях. CERT-In объяснил это «присутствием жестко закодированных учетных данных сервисного аккаунта, ключей API и токенов авторизации внутри пакета приложения». Удаленный злоумышленник без аутентификации может загрузить пакет приложения и извлечь эту информацию для получения доступа к соответствующим серверным службам, что может привести к раскрытию конфиденциальной информации или разрешению несанкционированных операций.

Вторая проблема касается недостаточной проверки URL-адресов и источников, загружаемых через компонент WebView в приложениях. Причиной этого было определено «недостаточное подтверждение URL-адресов и источников, загруженных внутри компонента WebView». Злоумышленник может отправить вредоносный веб-контент в затронутый WebView, потенциально получить активные токены аутентификации и выдавать себя за пользователей для доступа к данным и услугам, связанным с автомобилем.

Третья уязвимость связана с тем, что токены аутентификации записываются в журналы приложения, используемые для разработки и отладки. CERT-In указал, что причиной является «запись токенов аутентификации в журналах приложения, используемых для разработки и отладки». Местный злоумышленник, имеющий доступ к этим журналам, может извлечь и использовать раскрытые сессионные токены для подмены пользователей и получения несанкционированного доступа к информации и услугам, связанным с автомобилем.

Четвертая уязвимость относится к настройкам сетевой безопасности в приложениях, касающимся закрепления SSL-сертификата. CERT-In отметил «неправильную реализацию закрепления SSL-сертификата в конфигурации сетевой безопасности». Это может позволить злоумышленнику, находящемуся в позиции перехвата сетевого трафика, перехватить или изменить связь между приложениями и их серверными службами.

Приложения предоставляют доступ к функциям подключенного автомобиля

Приложения iRA 2.0 и iRA.ev предназначены для клиентов двигателей внутреннего сгорания (ICE) и электрических транспортных средств соответственно. Эти приложения обеспечивают доступ к услугам подключенного автомобиля, включая дистанционные команды на автомобиль, состояние транспортного средства, мониторинг здоровья и информацию о поездках. Оценка CERT-In предупреждает, что успешная эксплуатация этих уязвимостей может позволить злоумышленникам получить доступ и изменить данные, используя привилегии подмененного пользователя.

Индийское агентство по кибербезопасности Computer Emergency Response Team - India (CERT-In) получило безопасный доступ к модели Claude Mythos, которая поможет усилить кибербезопасность. Эта информация стала известна благодаря медиа-отчетам.

Mythos представляет собой мощную модель искусственного интеллекта от Anthropic, разработанную для поддержки задач в сфере кибербезопасности. Компания представила Mythos в апреле текущего года. Согласно сообщениям, CERT-In уже использует Mythos для обнаружения уязвимостей и слабых мест в системах.

Этот шаг произошел вскоре после того, как CERT-In сообщило, что некоторые агенты ИИ получили несанкционированный доступ к ряду избранных индийских организаций, хотя тогда конкретные организации не назывались.

По имеющимся данным, CERT-In планирует проводить тестирование Claude Mythos крайне осторожно. Этот процесс будет осуществляться постепенно и является длительной процедурой.

Согласно отчету Money Control, в настоящее время CERT-In тестирует Mythos в изолированной, контролируемой среде, не подключая к ней никаких внешних цифровых устройств.

CERT-In проводит испытания не только с Mythos, но и с другими моделями ИИ. Эти альтернативные модели обладают примерно 80-85% функциональности, аналогичной Mythos. Это позволяет государственной структуре использовать множество моделей в процессе тестирования, избегая зависимости от какой-либо одной системы.

Claude Mythos был впервые запущен в апреле этого года. Первоначально доступ к нему предоставлялся лишь ограниченному кругу организаций. Изначально был запущен проект Glasswing, который ограничивал доступ только для отобранных учреждений. Claude Mythos спроектирован таким образом, чтобы выявлять недостатки в области кибербезопасности.