Индийская служба реагирования на компьютерные инциденты CERT-In 4 ноября выпустила предупреждение о четырёх уязвимостях высокой опасности в автомобильных приложениях Tata Motors. Они затрагивают версии iRA 2.0 до 26.7.3 включительно и iRA.ev до 26.7.2 включительно
В установочные пакеты встроены служебные учётные данные, ключи программных интерфейсов и токены авторизации. Другие проблемы связаны с проверкой адресов во встроенном браузере, записью токенов в журналы и неработающим закреплением сертификатов. По оценке службы, возможны действия от имени пользователя, доступ к данным и сервисам автомобиля
Рекомендовано обновить обычное приложение до версии 26.8.2, а приложение для электромобилей — до 26.9.1. Бюллетень описывает потенциальные последствия, но не сообщает о подтверждённых атаках или утечках
Встроенные секреты доступа ставят вопрос о качестве проверки безопасности всего приложения. Само исправление необходимо, однако по одному бюллетеню нельзя судить ни о полноте такой проверки, ни о состоянии остального кода
Первоисточник — CERT-In
Сообщите редакции. Существенные исправления мы отмечаем в материале