Tata Motorsの車載アプリにハードコードされた認証情報、車両情報への不正アクセスが可能に

Hardcoded credentials and other issues in Tata Motors App

インドのCERT-InがTata MotorsのiRA 2.0とiRA.evに4件の脆弱性を報告した。アプリパッケージ内にサービスアカウントの認証情報やAPIキー、認証トークンがハードコードされていたほか、WebViewのURL検証不備、ログへのトークン記録、SSL証明書ピンニングの不適切な実装も判明。攻撃者はユーザーになりすまし、車両の遠隔操作や情報取得が可能になる恐れがある。深刻度はHIGHで、最新版への更新が求められている。