Tata Motors' iRA-Apps enthalten fest verdrahtete Zugangsdaten
Hardcoded credentials and other issues in Tata Motors App
CERT-In meldet vier Schwachstellen mit hohem Schweregrad in den Connected-Car-Apps iRA 2.0 und iRA.ev von Tata Motors. Im App-Paket stecken fest verdrahtete Service-Account-Zugangsdaten, API-Keys und Autorisierungs-Tokens, die ein Angreifer einfach extrahieren kann. Dazu kommen eine unzureichend abgesicherte WebView, Authentifizierungs-Tokens in Debug-Logs und wirkungsloses SSL-Pinning. Angreifer könnten Nutzer imitieren und auf Fahrzeugdaten und Fernbefehle zugreifen. Die Fixes stehen mit iRA 2.0 Version 26.8.2 und iRA.ev Version 26.9.1 bereit.
Ein nicht authentifizierter Angreifer von außen könnte diese Schwachstelle ausnutzen, indem er das Anwendungspaket herunterlädt und die darin eingebetteten sensiblen Informationen extrahiert.
- qtqtqt
Tata sagt, das Problem sei behoben worden und es habe keine Leaks gegeben:
https://auto.timesofindia.com/news/cars/tata-motors-says-ira...
- tpowell
Ich habe das Gefühl, gerade ein Telegramm bekommen zu haben ... ich liebe diese Website.
- richbell
Das ist doch Standard.