Las apps iRA de Tata Motors exponen credenciales y tokens incrustados en el propio paquete
Hardcoded credentials and other issues in Tata Motors App
CERT-In calificó como HIGH la gravedad de cuatro vulnerabilidades en las aplicaciones iRA 2.0 e iRA.ev de Tata Motors: credenciales de servicio, API Keys y tokens de autorización incrustados en el paquete, validación insuficiente de URLs en el WebView, tokens de autenticación registrados en los logs y un certificate pinning mal implementado. Un atacante podría acceder a servicios backend, suplantar usuarios y consultar o modificar información del vehículo. Las versiones corregidas son iRA 2.0 26.8.2 e iRA.ev 26.9.1.
Un atacante remoto no autenticado podría explotar esta vulnerabilidad descargando el paquete de la aplicación y extrayendo la información sensible incrustada.
- qtqtqt
Tata dice que el problema se ha solucionado y que no hubo filtraciones:
https://auto.timesofindia.com/news/cars/tata-motors-says-ira...
- tpowell
Siento como si acabara de recibir un telegrama... me encanta el sitio web.
- richbell
Lo habitual, dentro de lo esperable.