भारतीय कंप्यूटर आपातकालीन प्रतिक्रिया टीम (CERT-In) ने टाटा मोटर्स के कनेक्टेड व्हीकल एप्लिकेशन iRA 2.0 और iRA.ev के कुछ संस्करणों में सुरक्षा संबंधी कई समस्याओं का पता लगाया है।
ये कमजोरियां संभावित रूप से हमलावरों को गोपनीय क्रेडेंशियल्स निकालने, वाहन से जुड़े जानकारी और सेवाओं तक पहुंचने, उपयोगकर्ताओं के रूप में खुद को प्रस्तुत करने और बिना उचित अनुमति के एप्लिकेशन डेटा को संशोधित करने की अनुमति दे सकती हैं।
मंगलवार को जारी भेद्यता चेतावनी में, CERT-In ने इन कमियों को 'उच्च' गंभीरता रेटिंग दी। प्रभावित संस्करणों में Tata Motors iRA 2.0 संस्करण 26.7.3 और उससे पहले के, साथ ही iRA.ev संस्करण 26.7.2 और उससे पहले के शामिल हैं।
CERT-In उपयोगकर्ताओं को पहचानी गई समस्याओं को ठीक करने के लिए प्रभावित एप्लिकेशन को iRA 2.0 संस्करण 26.8.2 और iRA.ev संस्करण 26.9.1 में अपडेट करने की पुरजोर सिफारिश करता है।
एप्लिकेशन में चार खोजी गई कमजोरियां
CERT-In विशेषज्ञों ने क्रेडेंशियल स्टोरेज, वेब सामग्री सत्यापन, प्रमाणीकरण टोकन हैंडलिंग और एप्लिकेशन और सर्वर सेवाओं के बीच संचार सुरक्षा से संबंधित चार प्रकार की कमजोरियों की पहचान की है।
पहली कमजोरी एप्लिकेशन में हार्डकोडेड क्रेडेंशियल्स से संबंधित है। CERT-In ने इसे 'एप्लिकेशन पैकेज के भीतर सर्विस अकाउंट क्रेडेंशियल्स, एपीआई कुंजियों और प्राधिकरण टोकन की उपस्थिति' के रूप में समझाया। एक दूरस्थ हमलावर प्रमाणीकरण के बिना एप्लिकेशन पैकेज डाउनलोड कर सकता है और संबंधित सर्वर सेवाओं तक पहुंचने के लिए इस जानकारी को निकाल सकता है, जिससे गोपनीय जानकारी का खुलासा या अनधिकृत संचालन हो सकता है।
दूसरी समस्या एप्लिकेशन में WebView घटक के माध्यम से लोड किए गए URL और स्रोतों के अपर्याप्त सत्यापन से संबंधित है। इसका कारण 'WebView घटक के भीतर लोड किए गए URL और स्रोतों का अपर्याप्त सत्यापन' पाया गया। एक हमलावर प्रभावित WebView में दुर्भावनापूर्ण वेब सामग्री भेज सकता है, संभावित रूप से सक्रिय प्रमाणीकरण टोकन प्राप्त कर सकता है और वाहन से जुड़ी जानकारी और सेवाओं तक पहुंचने के लिए उपयोगकर्ताओं के रूप में खुद को प्रस्तुत कर सकता है।
तीसरी कमजोरी इस तथ्य से संबंधित है कि प्रमाणीकरण टोकन एप्लिकेशन लॉग में लिखे जाते हैं जिनका उपयोग विकास और डीबगिंग के लिए किया जाता है। CERT-In ने बताया कि इसका कारण 'विकास और डीबगिंग के लिए उपयोग किए जाने वाले एप्लिकेशन लॉग में प्रमाणीकरण टोकन लिखना' है। स्थानीय हमलावर, जिनके पास इन लॉग तक पहुंच है, उपयोगकर्ता प्रतिस्थापन और वाहन से जुड़ी जानकारी और सेवाओं तक अनधिकृत पहुंच प्राप्त करने के लिए उजागर सत्र टोकन निकाल और उपयोग कर सकता है।
चौथी कमजोरी एप्लिकेशन में नेटवर्क सुरक्षा सेटिंग्स से संबंधित है, विशेष रूप से SSL प्रमाणपत्र पिनिंग से संबंधित। CERT-In ने 'नेटवर्क सुरक्षा कॉन्फ़िगरेशन में SSL प्रमाणपत्र पिनिंग का गलत कार्यान्वयन' बताया। यह नेटवर्क ट्रैफ़िक इंटरसेप्ट करने की स्थिति में हमलावर को एप्लिकेशन और उनकी सर्वर सेवाओं के बीच संचार को रोकने या बदलने की अनुमति दे सकता है।
एप्लिकेशन कनेक्टेड कार सुविधाओं तक पहुंच प्रदान करते हैं
iRA 2.0 और iRA.ev एप्लिकेशन क्रमशः आंतरिक दहन इंजन (ICE) और इलेक्ट्रिक वाहनों के ग्राहकों के लिए डिज़ाइन किए गए हैं। ये एप्लिकेशन कनेक्टेड कार सेवाओं तक पहुंच प्रदान करते हैं, जिसमें वाहन पर रिमोट कमांड, वाहन की स्थिति, स्वास्थ्य निगरानी और यात्रा जानकारी शामिल है। CERT-In का मूल्यांकन चेतावनी देता है कि इन कमजोरियों का सफल शोषण हमलावरों को प्रतिस्थापित उपयोगकर्ता की विशेषाधिकारों का उपयोग करके डेटा तक पहुंचने और उसे संशोधित करने की अनुमति दे सकता है।
