印度CERT-In警告塔塔汽车iRA应用存在安全漏洞

新德里 印度计算机应急响应小组（CERT-In）是印度政府负责应对网络安全事件的节点机构，该机构警告称塔塔汽车的 iRA 2.0 和 iRA.ev 移动应用存在漏洞，可能遭到攻击，并且应用内嵌的敏感信息可能被提取。该机构表示，漏洞的存在是由于应用安装包中硬编码了服务账户凭据、API Key 和授权令牌。CERT-In 在其公告中表示：“未经身份验证的远程攻击者可以通过下载应用安装包并提取其中内嵌的敏感信息来利用此漏洞。成功利用此漏洞可能使攻击者未经授权访问关联的后端服务，并可能访问敏感信息或在目标系统上执行未经授权的操作。”该机构还表示，漏洞的存在还源于对 WebView 组件中加载的 URL 和来源校验不足，并补充说远程攻击者可以通过向受影响的 WebView 发送恶意网页内容来利用此漏洞。该机构指出，成功利用此漏洞可能使攻击者与应用功能进行未经授权的交互、获取实时 bearer 认证令牌，并可能冒充关联用户，访问车辆相关信息和 services。CERT-In 解释道：“此漏洞存在于 iRA 2.0 和 iRA.ev 移动应用中，原因是用于开发和调试的应用日志中记录了认证令牌。能够访问日志的本地攻击者可以通过获取并滥用暴露的会话令牌来利用此漏洞。”该机构表示，成功利用此漏洞可能使攻击者冒充关联用户，未经授权访问车辆相关信息和 services。该机构还补充道：“此漏洞存在于 iRA 2.0 和 iRA.ev 移动应用中，原因是网络安全配置中 SSL 证书固定（certificate pinning）实施不当，导致证书固定控制失效。处于可拦截网络流量位置的攻击者可以利用此漏洞拦截或篡改应用与其后端服务之间的通信。”该机构建议用户将应用更新至 Tata Motors iRA 2.0 版本 26.8.2 和 Tata Motors iRA.ev 版本 26.9.1。与此同时，塔塔汽车乘用车部门在给《BusinessLine》的回复中表示，iRA 2.0 和 iRA.ev 应用中被发现的漏洞已通过软件更新和增强的安全措施得到解决。一位公司发言人表示：“根据 CERT-In 的公告，最新版本的强制更新——iRA 2.0（版本 26.8.2）和 iRA.ev（版本 26.9.1）——已分别于 2026 年 8 月和 9 月推出。用户打开相应应用时会自动收到更新提示，并可在几分钟内通过空中下载完成更新。”该更新的推送已完成覆盖所有活跃用户，公司正在主动联系尚未完成更新的其余客户，以确保他们过渡到最新版本。该发言人补充道：“我们的评估表明，客户数据和车辆相关信息仍然安全——没有证据显示存在任何未经授权访问或泄露客户凭据、个人信息或车辆相关数据的情况。我们将继续积极监控系统，以维护客户的安全和防护。”