Tata Motors 앱에 하드코딩된 자격 증명이 그대로 박혀 있었다

Hardcoded credentials and other issues in Tata Motors App

인도 CERT-In이 Tata Motors의 커넥티드 카 앱 iRA 2.0과 iRA.ev에서 심각도 HIGH 취약점 4건을 공개했다. 앱 패키지 안에 서비스 계정 자격 증명과 API 키, 인증 토큰이 하드코딩돼 있었고, WebView URL 검증 미흡, 로그에 남는 인증 토큰, SSL 인증서 피닝 미흡 문제도 포함됐다. 공격자는 차량 원격 명령과 상태 정보에 접근하거나 사용자를 사칭할 수 있다. 제보는 Pranav Rajendran이 했으며, 최신 버전 업그레이드가 권고된다.