Le chiavi dei servizi Tata Motors erano dentro le app per l’auto
Il CERT-In segnala credenziali e token incorporati nelle app iRA: estraendoli dal pacchetto scaricabile si poteva accedere senza autorizzazione ai servizi collegati. Sono indicate le versioni corrette.
Che succede
Le app iRA 2.0 e iRA.ev di Tata Motors contenevano credenziali di servizio, chiavi API e token di autorizzazione direttamente nel pacchetto scaricabile. Il CERT-In indiano lo ha segnalato il 4 novembre: bastava scaricare l’app ed estrarne quei dati, senza avere un account, per poter tentare accessi non autorizzati ai servizi del costruttore.
Quelle chiavi servivano per comunicare con i sistemi remoti collegati alle app. Distribuirle nel software scaricabile significava metterle a disposizione anche di chi voleva attaccare quei servizi, senza dover prima entrare nel telefono di un proprietario. Secondo l’avviso, lo sfruttamento poteva consentire l’accesso a informazioni sensibili o operazioni non autorizzate sui sistemi interessati. Non descrive però un controllo fisico dell’auto né documenta furti di veicoli.
La vulnerabilità CVE-2026-121144, valutata 8,8 su 10, riguarda iRA 2.0 fino alla versione 26.7.3 e iRA.ev fino alla 26.7.2. Il CERT-In indica come correttive rispettivamente le versioni 26.8.2 e 26.9.1.
Perché conta
Un’app per l’auto può diventare un ingresso ai servizi del costruttore. Qui le chiavi di quell’ingresso viaggiavano dentro il software consegnato agli utenti: un errore che espone il servizio anche senza sottrarre il telefono di un proprietario.
Vuoi sapere di più su pillole come questa?