اپلیکیشن‌های موبایل iRA 2.0 و iRA.ev متعلق به شرکت Tata Motors حاوی چهار آسیب‌پذیری امنیتی هستند که می‌تواند به مهاجمان اجازه دهد اعتبارنامه‌ها (Credentials) را سرقت کرده، هویت مالکان خودرو را جعل کنند و به سرویس‌های خودرو دسترسی پیدا کنند. تیم واکنش به حوادث رایانه‌ای هند (CERT-In)، در توصیه‌نامه‌ای که در تاریخ ۴ نوامبر ۲۰۲۶ منتشر شد، سطح شدت این مشکلات را “High” (بالا) اعلام کرده است.
این هشدار شامل نسخه‌های 26.7.3 و قدیمی‌تر از iRA 2.0 و نسخه‌های 26.7.2 و قدیمی‌تر از iRA.ev می‌شود. این اپلیکیشن‌ها به مشتریان خودروهای بنزینی، دیزلی و الکتریکی خدمات ارائه می‌دهند و قابلیت‌هایی نظیر دستورات از راه دور (Remote Commands)، بررسی وضعیت خودرو، پایش سلامت و اطلاعات سفر را فراهم می‌کنند.
جزئیات آسیب‌پذیری‌ها:
- CVE-2026-121144: این آسیب‌پذیری مربوط به ذخیره‌سازی اعتبارنامه‌های حساب‌های سرویس، کلیدهای API و توکن‌های مجوز (Authorization Tokens) در داخل بسته اپلیکیشن (App Package) است. یک مهاجم بدون نیاز به ورود به سیستم می‌تواند بسته را دانلود و این اطلاعات حساس را استخراج کند.
- CVE-2026-121145: این مورد مربوط به WebView است؛ مؤلفه‌ای که محتوای وب را در داخل اپلیکیشن نمایش می‌دهد. عدم بررسی کافی روی URLهای بارگذاری شده می‌تواند به مهاجم اجازه دهد با توکن‌های احراز هویت (Bearer Tokens) تعامل کرده و هویت کاربر را جعل کند.
- CVE-2026-121146: در این مورد، توکن‌های احراز هویت از طریق لاگ‌های اپلیکیشن (Application Logs) که برای توسعه و عیب‌یابی استفاده می‌شوند، افشا می‌گردند. مهاجم با دسترسی به این لاگ‌ها می‌تواند به اطلاعات و سرویس‌های خودرو دسترسی پیدا کند.
- CVE-2026-121147: این آسیب‌پذیری ناشی از پیاده‌سازی نادرست SSL Certificate Pinning در پیکربندی امنیت شبکه است. این نقص به مهاجم اجازه می‌دهد تا ترافیک شبکه را شنود کرده یا ارتباطات بین اپلیکیشن موبایل و سرویس‌های بک‌اند (Backend Services) را تغییر دهد.
CERT-In به کاربران آسیب‌پذیر توصیه می‌کند که اپلیکیشن iRA 2.0 را به نسخه 26.8.2 و iRA.ev را به نسخه 26.9.1 ارتقا دهند. اگرچه گزارش شده است که تاکنون شواهدی از بهره‌برداری فعال (Active Exploitation) از این آسیب‌پذیری‌ها وجود ندارد، اما ریسک‌های مربوط به سرقت اطلاعات و دسترسی غیرمجاز به سرویس‌های خودرو بسیار جدی است.
