塔塔 iRA 车联 App 的四个洞：硬编码密钥与可冒充的令牌
来源：cert-in.org.in — 2026-11-04
📋 概述
印度 CERT-In 发布公告 CIVN-2026-0537，指出塔塔汽车 iRA 2.0（26.7.3 及以下）与 iRA.ev（26.7.2 及以下）存在四个高危问题：应用包内硬编码的服务账号凭据、API Key 与授权令牌；WebView 对加载的 URL 与来源校验不足；认证令牌被写进应用日志；SSL 证书固定实现不当。核心漏洞 CVE-2026-121144 评分为 8.8，攻击者下载安装包即可提取凭据并访问后端服务。塔塔称修复版本 26.8.2 与 26.9.1 已分别于 8 月与 9 月强推，但公告到 11 月才发布，中间差了约三个月。
🔑 核心要点
- 最重的一条是安装包内硬编码的服务账号凭据、API Key 与授权令牌，下载 APK 解包即可读取，CVE 评分 8.8。
- 另外三个洞串起来是一条冒充链：WebView 校验不足 + 令牌写入日志 + 证书固定不当，可导致令牌被截获或用户被冒充。
- 时间线是争议点：修复 8、9 月已推，公告 11 月才发，留给攻击者的是三个月的窗口。
- 厂商回应称已全量推送强制更新，且未发现客户数据被未授权访问的证据——这是声明，不是审计结论。
💡 金句
An unauthenticated remote attacker could exploit this vulnerability by downloading application package and extracting embedded sensitive information.
👍 0
👎 0
← 返回 Hacker News 首页