Hindiya kompyuter favqulodda holatlarga javob berish jamoasi (CERT-In) Tata Motors iRA 2.0 va iRA.ev ulanish transport vositalari uchun moʻljallangan ilovalarning maʼlum versiyalarida bir qator xavfsizlik muammolarini aniqladi.
Bu zaifliklar potentsial ravishda zarar yetkazuvchilarga maxfiy hisob maʼlumotlarini olish, avtomobil bilan bogʻliq maʼlumotlar va xizmatlarga kirish, foydalanuvchilar sifatida oʻzini taqdim etish va ilova maʼlumotlarini tegishli ruxsatlarsiz oʻzgartirish imkonini berishi mumkin.
Seshanba kuni eʼlon qilingan zaifliklar haqidagi ogohlantirishda CERT-In bu kamchiliklarga "Yuqori" jiddiy barkamolik reytingini berdi. Taʼsirlangan versiyalarga Tata Motors iRA 2.0 versiyasi 26.7.3 va undan avvalgi, shuningdek, iRA.ev versiyasi 26.7.2 va undan avvalgilar kiradi.
CERT-In foydalanuvchilarga aniqlangan muammolarni bartaraf etish uchun taʼsirlangan ilovalarni iRA 2.0 versiyasi 26.8.2 va iRA.ev versiyasi 26.9.1 ga yangilashni qatʼiyan tavsiya etadi.
Ilovalarda aniqlangan toʻrtta zaiflik
CERT-In ekspertlari hisob maʼlumotlarini saqlash, veb-kontentni tekshirish, autentifikatsiya tokenlarini qayta ishlash va ilovalar hamda server xizmatlari oʻrtasidagi aloqa xavfsizligi bilan bogʻliq toʻrtta turdagi zaifliklarni aniqladilar.
Birinchi zaiflik ilovalardagi qattiq kodlangan hisob maʼlumotlari bilan bogʻliq. CERT-In buni "ilova paketining ichida xizmat hisobi, API kalitlari va avtorizatsiya tokenlari kabi qattiq kodlangan hisob maʼlumotlarining mavjudligi" deb tushuntirdi. Avtorizatsiya qilmagan masofaviy zarar yetkazuvchi ilova paketini yuklab olishi va ushbu maʼlumotlarni olishi mumkin, bu esa tegishli server xizmatlariga kirishga olib kelishi, maxfiy maʼlumotlarning oshkor boʻlishiga yoki ruxsatsiz operatsiyalarning amalga oshirilishiga sabab boʻlishi mumkin.
Ikkinchi muammo ilovalardagi WebView komponenti orqali yuklanadigan URL manzillar va manbalarni yetarli darajada tekshirmasligi bilan bogʻliq. Buning sababi "WebView komponenti ichida yuklangan URL manzillar va manbalarni yetarli darajada tasdiqlamashning yetishmasligi" deb aniqlandi. Zarar yetkazuvchi WebViewga zararli veb-kontent yuborishi mumkin, potentsial ravishda faol autentifikatsiya tokenlarini olishi va avtomobil bilan bogʻliq maʼlumotlar va xizmatlarga kirish uchun foydalanuvchilar sifatida oʻzini taqdim etishi mumkin.
Uchinchi zaiflik autentifikatsiya tokenlari ishlab chiqish va sinovdan oʻtkazish uchun ishlatiladigan ilova jurnallariga yozilishi bilan bogʻliq. CERT-In bu sabab "ishlab chiqarish va sinovdan oʻtkazish uchun ishlatiladigan ilova jurnallariga autentifikatsiya tokenlarini yozish" ekanligini koʻrsatdi. Ushbu jurnallarga kirish huquqi boʻlgan mahalliy zarar yetkazuvchi oshkor boʻlgan sessiya tokenlarini olishi va foydalanuvchilarni almashtirish hamda avtomobil bilan bogʻliq maʼlumotlar va xizmatlarga ruxsatsiz kirish uchun ishlatishi mumkin.
Toʻrtinchi zaiflik ilovalardagi tarmoq xavfsizligi sozlamalari, xususan, SSL sertifikatini mahkamlash bilan bogʻliq. CERT-In "tarmoq xavfsizligi konfiguratsiyasida SSL sertifikatini mahkamlashning notoʻgʻri amalga oshirilishi"ni qayd etdi. Bu tarmoq trafikini ushlab turish holatidagi zarar yetkazuvchiga ilovalar va ularning server xizmatlari oʻrtasidagi aloqani ushlab olish yoki oʻzgartirish imkonini berishi mumkin.
Ilovalar ulanish avtomobili funksiyalariga kirish imkonini beradi
iRA 2.0 va iRA.ev ilovalari mos ravishda ichki yonuv dvigatelli (ICE) va elektr transport vositalari mijozlari uchun moʻljallangan. Ushbu ilovalar masofaviy buyruqlar, transport vositasining holati, sogʻliqni nazorat qilish va sayohat maʼlumotlari kabi ulanish avtomobili xizmatlariga kirishni taʼminlaydi. CERT-In bahosi shuni koʻrsatadiki, bu zaifliklardan muvaffaqiyatli foydalanish zarar yetkazuvchilarga almashtirilgan foydalanuvchi imtiyozlaridan foydalanib maʼlumotlarga kirish va ularni oʻzgartirish imkonini berishi mumkin.
