टाटा की कार चलाने वाले सावधान: iRA एप में मिलीं गंभीर सिक्योरिटी खामी, CERT-In चेतावनी जारी कर क्या दी सलाह?
- टाटा आईआरए एप्स में चार सिक्योरिटी खामियां।
- CERT-In ने हाई सीवैरिटी चेतावनी दी है।
- डेटा चोरी और इम्पर्सनेशन का खतरा बताया गया है।
- पुराने एप वर्जन प्रभावित हुए हैं।
- यूजर्स को तुरंत अपडेट करने की सलाह दी गई है।
विस्तार
Add as a preferredटाटा मोटर्स की कनेक्टेड कार सर्विस इस्तेमाल करने वाले यूजर्स के लिए सिक्योरिटी से जुड़ी एक अहम चेतावनी सामने आई है। भारतीय कंप्यूटर इमरजेंसी रिस्पॉन्स टीम (CERT-In) ने कंपनी के iRA 2.0 और iRA.ev एप के कुछ पुराने वर्जन में चार सुरक्षा कमजोरियों की पहचान की है। इन खामियों का फायदा उठाकर साइबर हमलावर यूजर्स के क्रेडेंशियल्स चुरा सकते हैं, व्हीकल से जुड़ी जानकारी और सर्विसेज तक पहुंच बना सकते हैं और यहां तक कि यूजर की पहचान का गलत इस्तेमाल और एप के डेटा में बिना अनुमति बदलाव भी किया जा सकता है। CERT-In ने इन कमजोरियों को हाई सीवैरिटी रेटिंग दी है और यूजर्स को एप अपडेट करने की सलाह दी है।
टाटा मोटर्स के किन एप्स में मिली खामियां?
- CERT-In ने टाटा मोटर्स के दो कनेक्टेड व्हीकल एप्स में सुरक्षा से जुड़ी कमजोरियां फ्लैग की हैं। इनमें iRA 2.0 और iRA.ev शामिल हैं।
- ये दोनो ही एप टाटा की कारों को डिजिटल कनेक्टिविटी से जोड़ते हैं। इनके जरिए यूजर्स मोबाइल फोन से कार की जानकारी पता कर सकते हैं और कई कनेक्टेड सर्विसेज का इस्तेमाल कर सकते हैं।
- CERT-In के अनुसार, एप के कुछ पुराने वर्जन में मौजूद कमजोरियों की वजह से हमलावर संवेदनशील जानकारी हासिल करने से लेकर व्हीकल से जुड़ी सर्विसेज तक पहुंच बनाने की कोशिश कर सकते हैं।
CERT-In has published Vulnerability Notes on its website. Multiple Vulnerabilities in Tata Motors iRA and iRA.ev Application https://t.co/QTIsWhMjV8 Multiple Vulnerabilities in Android OS https://t.co/lAlTeMlVU7
— CERT-In (@IndianCERT) November 4, 2026
किन वर्जन पर ज्यादा है खतरा?
CERT-In ने प्रभावित एप वर्जन और उनके सुरक्षित अपडेट की जानकारी भी दी है।
| एप | प्रभावित वर्जन | अपडेट करने वाला वर्जन |
|---|---|---|
| iRA 2.0 | 26.7.3 और उससे पहले के | 26.8.2 |
| iRA.ev | 26.7.2 और उससे पहले के | 26.9.1 |
यानी अगर यूजर अभी भी प्रभावित वर्जन इस्तेमाल कर रहे हैं, तो उन्हें जल्द से जल्द संबंधित नए वर्जन पर अपग्रेड करना चाहिए।
एप में कौन-सी सिक्योरिटी कमजोरियां मिली है?
CERT-In ने इन एप्स में चार तरह की सुरक्षा खामियों की पहचान की है। इनका इस्तेमाल करके हमलावर यूजर की जानकारी और एप की सुरक्षा को नुकसान पहुंचा सकते हैं।
1. एप में हार्डकोडेड क्रेडेंशियल्स
- इसमें पहली खामी एप के अंदर हार्डकोडेड क्रेडेंशियल्स से जुड़ी है। एप पैकेज में सर्विस अकाउंट क्रेडेंशियल्स, एपीआई कीज और ऑथराइजेशन टोकन्स पहले से मौजूद हैं।
- इसका फायदा उठाकर कोई अनऑथेंटिकेटेड रिमोट अटैकर एप पैकेज डाउनलोड कर सकता है और उसमें मौजूद संवेदनशील जानकारी निकाल सकता है। इसके बाद वह इन जानकारियों की मदद से बैकएंड सर्विसेज तक पहुंच बनाने की कोशिश कर सकता है।
2. वेबव्यू में पर्याप्त जांच नहीं
दूसरी कमजोरी एप के वेबव्यू कंपोनेंट में है। इसमें यूआरएल और ओरिजिन्स की पर्याप्त जांच नहीं की गई है। इसका फायदा उठाकर हमलावर मैलिशियस वेब कंटेंट भेज सकता है। इससे लाइव बेयरर ऑथेंटिकेशन टोकन्स हासिल किए जा सकते हैं। इन टोकन्स का इस्तेमाल यूजर की पहचान बनाकर व्हीकल सर्विसेज तक पहुंचने के लिए किया जा सकता है।
3. लॉग्स में सेव हो रहे ऑथेंटिकेशन टोकन्स
तीसरी खामी डेवलपमेंट और डिबगिंग लॉग्स से जुड़ी है। इन लॉग्स में यूजर्स के ऑथेंटिकेशन टोकन्स रिकॉर्ड हो रहे हैं।
अगर किसी लोकल अटैकर की इन लॉग्स तक पहुंच हो जाती है, तो वह उनमें से सेशन टोकन्स निकाल सकता है। इसके बाद इनका इस्तेमाल यूजर की पहचान का गलत तरीके से इस्तेमाल करने के लिए किया जा सकता है।
4. एसएसएल सर्टिफिकेट पिनिंग में गड़बड़ी
चौथी कमजोरी नेटवर्क सिक्योरिटी कॉन्फिगरेशन में एसएसएल सर्टिफिकेट पिनिंग के अनुचित इम्प्लीमेंटेशन से जुड़ी है। इसका फायदा उठाकर हमलावर नेटवर्क ट्रैफिक को इंटरसेप्ट कर सकता है। इससे एप और बैकएंड सर्वर के बीच होने वाले कम्युनिकेशन में बदलाव करने का खतरा पैदा होता है।
यूजर्स की कौन-सी जानकारी और सर्विसेज प्रभावित हो सकती हैं?
- इन कमजोरियों का सफलतापूर्वक इस्तेमाल होने पर हमलावर यूजर की पहचान का गलत इस्तेमाल कर सकते हैं। इसके अलावा संवेदनशील क्रेडेंशियल्स निकालने, व्हीकल से जुड़ी जानकारी और सर्विसेज एक्सेस करने और एप डेटा में बिना अनुमति बदलाव करने का खतरा है।
- CERT-In के अनुसार, सफल एक्सप्लॉइटेशन के बाद हमलावर इम्पर्सनेटेड यूजर के प्रिविलेज का इस्तेमाल करके डेटा एक्सेस और मॉडिफाई कर सकते हैं।
Tata iRA 2.0 और iRA.ev एप क्या काम करते हैं?
टाटा मोटर्स के ये दोनों एप कनेक्टेड व्हीकल टेक्नोलॉजी का हिस्सा हैं, लेकिन इनका इस्तेमाल अलग-अलग तरह की कारों के लिए होता है।
- iRA 2.0: यह टाटा मोटर्स के ICE यानी पेट्रोल और डीजल इंजन वाले व्हीकल्स के लिए है।
- iRA.ev: यह कंपनी के इलेक्ट्रिक व्हीकल्स के लिए है।
इन एप्स के जरिए यूजर्स को रिमोट कमांड्स, व्हीकल स्टेटस, हेल्थ मॉनिटरिंग और ट्रिप से जुड़ी जानकारी जैसी कनेक्टेड सर्विसेज मिलती हैं।
यूजर्स को क्या करना चाहिए?
CERT-In ने प्रभावित एप्स के लिए नए वर्जन पर अपग्रेड करने की सलाह दी है। iRA 2.0 इस्तेमाल करने वाले यूजर्स को वर्जन 26.8.2 और iRA.ev इस्तेमाल करने वालों को वर्जन 26.9.1 पर अपडेट करना चाहिए। पुराने प्रभावित वर्जन इस्तेमाल करने से बचें। एप को अपडेट रखने से इन पहचानी गई सुरक्षा कमजोरियों से जुड़े जोखिम को कम करने में मदद मिलेगी।
