Phân tích 4 lỗ hổng nghiêm trọng trên ứng dụng Tata Motors iRA

• Phạm vi ảnh hưởng: Ứng dụng iRA 2.0 (phiên bản 26.7.3 trở về trước) và iRA.ev (phiên bản 26.7.2 trở về trước).
• Rủi ro chính: Rò rỉ thông tin xác thực, giả mạo người dùng, truy cập trái phép vào dịch vụ xe thông qua các lỗ hổng API và cấu hình bảo mật.
• Khuyến nghị: Người dùng cần cập nhật ngay lên phiên bản iRA 2.0 v26.8.2 và iRA.ev v26.9.1 từ các kho ứng dụng chính thức.

Nhóm nghiên cứu bảo mật, dẫn đầu bởi chuyên gia Pranav Rajendran, vừa công bố báo cáo chi tiết về bốn lỗ hổng bảo mật nghiêm trọng tồn tại trong hệ sinh thái ứng dụng di động iRA của Tata Motors. Cơ quan Ứng cứu Khẩn cấp Máy tính Ấn Độ (CERT-In) đã chính thức xác nhận các lỗ hổng này vào ngày 4 tháng 11 năm 2026, xếp hạng ở mức độ nghiêm trọng cao (High severity).

Chi tiết các lỗ hổng bảo mật (CVE)

Các lỗ hổng này ảnh hưởng trực tiếp đến khả năng bảo mật của ứng dụng iRA 2.0 và iRA.ev, vốn được sử dụng để quản lý các dòng xe chạy xăng, dầu và xe điện của hãng. Dưới đây là bảng tổng hợp các mã CVE và tác động kỹ thuật tương ứng:

Phân tích kỹ thuật chuyên sâu

Lỗ hổng CVE-2026-121144 là một ví dụ điển hình về việc lưu trữ thông tin nhạy cảm không an toàn. Bằng cách phân tích gói cài đặt (APK), kẻ tấn công có thể trích xuất trực tiếp các tài khoản dịch vụ và API keys mà không cần thông qua bất kỳ bước xác thực nào. Điều này mở ra khả năng truy cập vào các dịch vụ backend của Tata Motors.

Đối với CVE-2026-121145, vấn đề nằm ở cơ chế WebView. Việc thiếu kiểm tra tính hợp lệ của URL và nguồn gốc (origin) cho phép các trang web độc hại tương tác với các hàm nội bộ của ứng dụng. Kẻ tấn công có thể lợi dụng điều này để đánh cắp bearer token, từ đó giả mạo danh tính người dùng để thực hiện các lệnh điều khiển xe từ xa.

Rủi ro từ nhật ký và cấu hình mạng

Lỗ hổng CVE-2026-121146 liên quan đến việc ghi lại các token xác thực vào file log trong quá trình phát triển và gỡ lỗi (debugging). Nếu kẻ tấn công có quyền truy cập vật lý hoặc quyền truy cập vào thiết bị, chúng có thể dễ dàng đọc được các token này để chiếm quyền điều khiển phiên làm việc (session hijacking).

Cuối cùng, CVE-2026-121147 liên quan đến việc triển khai SSL certificate pinning không đúng cách. Trong môi trường mạng không an toàn, kẻ tấn công có thể thực hiện tấn công xen giữa (MitM) để chặn hoặc sửa đổi dữ liệu truyền tải giữa ứng dụng và máy chủ backend, làm suy yếu toàn bộ chuỗi bảo mật của hệ thống kết nối xe thông minh.

Khuyến nghị phòng thủ và cập nhật

Để giảm thiểu rủi ro, người dùng và quản trị viên hệ thống cần tuân thủ nghiêm ngặt các hướng dẫn từ CERT-In. Việc nâng cấp ứng dụng lên phiên bản mới nhất là yêu cầu bắt buộc để vá các lỗ hổng này.

⚠️ Cảnh báo quan trọng: Hiện tại chưa có báo cáo về việc khai thác thực tế (in-the-wild), tuy nhiên, do tính chất nghiêm trọng của các lỗ hổng liên quan đến quyền điều khiển xe, người dùng cần thực hiện cập nhật ngay lập tức để tránh các nguy cơ bị tấn công giả mạo hoặc đánh cắp dữ liệu cá nhân.

Các nhà phát triển ứng dụng di động nên xem xét lại quy trình bảo mật (Secure SDLC), đặc biệt là việc loại bỏ các thông tin nhạy cảm khỏi mã nguồn, cấu hình chặt chẽ WebView và đảm bảo cơ chế SSL pinning được thực hiện đúng chuẩn để ngăn chặn các cuộc tấn công mạng nhắm vào hạ tầng kết nối.