भारतीय कंप्यूटर इमरजेंसी रिस्पॉन्स टीम (CERT-In) ने टाटा मोटर्स के कनेक्टेड वाहन ऐप्स iRA 2.0 और iRA.ev के विशिष्ट संस्करणों में कई गंभीर सुरक्षा खामियों की चेतावनी देते हुए एक हाई-सिफारिशी साइबर सुरक्षा एडवाइजरी जारी की है। राष्ट्रीय साइबर सुरक्षा एजेंसी ने आगाह किया है कि इन कमियों का फायदा उठाकर हमलावर संवेदनशील क्रेडेंशियल्स निकाल सकते हैं, निजी संचार को इंटरसेप्ट कर सकते हैं, उपयोगकर्ताओं का रूप धारण कर सकते हैं, वाहन संबंधी सेवाओं तक पहुंच बना सकते हैं और बिना अनुमति के डेटा बदल सकते हैं। प्रभावित सॉफ़्टवेयर संस्करणों में टाटा मोटर्स iRA 2.0 का संस्करण 26.7.3 या उससे पुराना और iRA.ev का संस्करण 26.7.2 या उससे पुराना शामिल है, जो क्रमशः कंपनी के पेट्रोल-डीजल और इलेक्ट्रिक वाहनों के ग्राहकों को सेवाएं प्रदान करते हैं। CERT-In ने अपने तकनीकी मूल्यांकन में सॉफ़्टवेयर संरचना के भीतर चार मुख्य सुरक्षा कमजोरियों का उल्लेख किया है, जिसमें सबसे पहली ऐप पैकेज के भीतर हार्डकोडेड सेवा खाता क्रेडेंशियल्स, एपीआई कीज और प्राधिकरण टोकन की मौजूदगी है। यह खामी अनधिकृत रिमोट हमलावरों को केवल ऐप पैकेज डाउनलोड करके संवेदनशील कीज निकालने और बैकएंड इंफ्रास्ट्रक्चर में अनधिकृत प्रवेश प्राप्त करने की अनुमति देती है। दूसरी खामी ऐप के वेबव्यू घटक के भीतर लोड किए गए यूआरएल और ओरिजिन के अपर्याप्त सत्यापन से जुड़ी है, जिससे हमलावर दुर्भावनापूर्ण वेब सामग्री भेजकर लाइव बियरर प्रमाणीकरण टोकन चुरा सकते हैं और उपयोगकर्ता खातों को हैक कर सकते हैं। तीसरी संवेदनशीलता विकास और डिबगिंग लॉग में संवेदनशील सत्र प्रमाणीकरण टोकन की असुरक्षित रिकॉर्डिंग से संबंधित है, जिससे स्थानीय हमलावर इन लॉग्स तक पहुंचकर एक्टिव टोकन हासिल कर सकते हैं। अंत में, CERT-In ने नेटवर्क सुरक्षा कॉन्फ़िगरेशन में एसएसएल सर्टिफिकेट पिनिंग के अनुचित कार्यान्वयन को रेखांकित किया, जो मोबाइल ऐप और बैकएंड सर्वर के बीच संचार को बीच में ही इंटरसेप्ट और डेटा से छेड़छाड़ के प्रति संवेदनशील बनाता है। चूंकि ये ऐप्स रिमोट कमांड, वाहन स्थिति, स्वास्थ्य निगरानी और ट्रिप जानकारी जैसी सुविधाओं तक पहुंच प्रदान करते हैं, इसलिए CERT-In ने सभी प्रभावित उपयोगकर्ताओं को तुरंत अपने ऐप्स को iRA 2.0 संस्करण 26.8.2 या iRA.ev संस्करण 26.9.1 पर अपडेट करने की तत्काल सलाह दी है।
