Tata Motorsアプリにおけるハードコードされた認証情報などの問題

Tata Motors iRAおよびiRA.evアプリケーションにおける複数の脆弱性

発行日: 2026年11月04日

深刻度評価: 高

影響を受けるシステム

• Tata Motors iRA 2.0 バージョン 26.7.3 およびそれ以前
• Tata Motors iRA.ev バージョン 26.7.2 およびそれ以前

概要

Tata MotorsのiRAおよびiRA.evアプリケーションで複数の脆弱性が報告されており、攻撃者が機密性の高い認証情報を取得したり、車両関連情報やサービスにアクセスしたりする可能性があります。

対象読者:
影響を受けるiRA 2.0およびiRA.evモバイルアプリケーションのユーザー。

リスク評価:
機密情報への不正アクセス、ユーザーのなりすまし、アプリケーションデータの不正変更のリスク。

影響評価:
なりすまされたユーザーの権限で、データへの不正アクセスおよび変更が行われる可能性。

説明

iRA 2.0およびiRA.evモバイルアプリケーションは、それぞれ内燃機関（ICE）および電気自動車（EV）の顧客向けのTata Motorsコネクテッドカーアプリケーションです。これらは、リモート車両コマンド、車両の状態と健全性の監視、トリップ情報など、車両関連情報およびコネクテッドサービスへのアクセスを提供します。

1. ハードコードされた認証情報の脆弱性 (CVE-2026-121144)

この脆弱性は、アプリケーションパッケージ内にハードコードされたサービスアカウントの認証情報、APIキー、および認証トークンが存在することにより、iRA 2.0およびiRA.evモバイルアプリケーションに存在します。認証されていないリモート攻撃者は、アプリケーションパッケージをダウンロードし、埋め込まれた機密情報を抽出することで、この脆弱性を悪用する可能性があります。
この脆弱性が成功裏に悪用されると、攻撃者は関連するバックエンドサービスへの不正アクセスを獲得し、標的システム上で機密情報にアクセスしたり、不正な操作を実行したりする可能性があります。

2. 不安全な設定の脆弱性 (CVE-2026-121145)

この脆弱性は、WebViewコンポーネント内でロードされるURLおよびオリジンの検証が不十分であることにより、iRA 2.0およびiRA.evモバイルアプリケーションに存在します。リモート攻撃者は、影響を受けるWebViewに悪意のあるWebコンテンツを送信することで、この脆弱性を悪用する可能性があります。
この脆弱性が成功裏に悪用されると、攻撃者はアプリケーション機能との不正なやり取りを実行し、ライブベアラートークンを取得し、潜在的に関連ユーザーになりすまして車両関連情報やサービスにアクセスする可能性があります。

3. 情報漏洩の脆弱性 (CVE-2026-121146)

この脆弱性は、開発およびデバッグに使用されるアプリケーションログに認証トークンが記録されることにより、iRA 2.0およびiRA.evモバイルアプリケーションに存在します。ログにアクセスできるローカル攻撃者は、公開されたセッショントークンを取得して誤用することで、この脆弱性を悪用する可能性があります。
この脆弱性が成功裏に悪用されると、攻撃者は関連ユーザーになりすまし、車両関連情報やサービスへの不正アクセスを獲得する可能性があります。

4. セキュリティ設定不備の脆弱性 (CVE-2026-121147)

この脆弱性は、ネットワークセキュリティ設定におけるSSL証明書ピニングの実装が不適切であり、証明書ピニング制御が効果的でないことにより、iRA 2.0およびiRA.evモバイルアプリケーションに存在します。ネットワークトラフィックを傍受できる位置にいる攻撃者は、この脆弱性を悪用して、アプリケーションとバックエンドサービス間の通信を傍受または変更する可能性があります。

謝辞

これらの脆弱性は、Pranav Rajendranによって報告されました。

解決策

最新バージョンにアップグレードしてください:

• Tata Motors iRA 2.0 をバージョン 26.8.2 へ
• Tata Motors iRA.ev をバージョン 26.9.1 へ

ベンダー情報

Tata Motors
https://www.tatamotors.com/

Tata Motors iRA 2.0
https://play.google.com/store/apps/details?id=com.tatamotors.oneapp&hl=en_IN
https://apps.apple.com/in/app/tata-motors-ira-2-0/id6444427831

Tata Motors iRA.ev
https://play.google.com/store/apps/details?id=com.tatamotors.evoneapp&hl=en_IN
https://apps.apple.com/in/app/tata-motors-ira-ev/id6470965268

参照

Tata Motors
https://www.tatamotors.com/

Tata Motors iRA 2.0
https://play.google.com/store/apps/details?id=com.tatamotors.oneapp&hl=en_IN
https://apps.apple.com/in/app/tata-motors-ira-2-0/id6444427831

Tata Motors iRA.ev
https://play.google.com/store/apps/details?id=com.tatamotors.evoneapp&hl=en_IN
https://apps.apple.com/in/app/tata-motors-ira-ev/id6470965268

CVE名
CVE-2026-121144
CVE-2026-121145
CVE-2026-121146
CVE-2026-121147

免責事項

本情報は「現状有姿」で提供され、いかなる保証も伴いません。

連絡先情報

Eメール: info@cert-in.org.in
電話: +91-11-22902657

郵送先

Indian Computer Emergency Response Team (CERT-In)
Ministry of Electronics and Information Technology
Government of India
Electronics Niketan
6, CGO Complex, Lodhi Road,
New Delhi - 110 003
India