Tata Motors iRA intègre des identifiants codés en dur

Présentation des vulnérabilités

Le 4 novembre 2026, le CERT‑In a publié la note CIVN‑2026‑0537 décrivant quatre failles critiques dans les applications mobiles Tata Motors iRA 2.0 (versions ≤ 26.7.3) et iRA.ev (versions ≤ 26.7.2). Les vulnérabilités, identifiées sous les références CVE‑2026‑121144 à CVE‑2026‑121147, concernent des identifiants hard‑coded, une configuration WebView permissive, la journalisation d‑tokens d’authentification et une implémentation défaillante du pinning SSL.

Mécanismes d'exploitation

CVE‑2026‑121144 – Hardcoded credentials : les paquets APK contiennent des comptes de service, des clés API et des jetons d’autorisation en clair. Un attaquant non authentifié peut télécharger l’application, la désassembler et extraire ces secrets, puis les réutiliser pour accéder aux services backend sans légitimation.

CVE‑2026‑121145 – Insecure WebView configuration : l’application charge des URL et des origines sans validation stricte dans le composant WebView. En injectant du contenu web malveillant, un acteur distant peut déclencher l’exécution de code JavaScript dans le contexte de l’application, récupérer les tokens porteurs actifs et usurper l’identité de l’utilisateur.

CVE‑2026‑121146 – Information disclosure via logs : les journaux de débogage enregistrent les tokens d’authentification. Un attaquant local disposant d’un accès aux fichiers logs peut récupérer ces jetons et les réutiliser pour se faire passer pour l’utilisateur légitime, ouvrant ainsi la porte à la consultation ou à la modification de données liées au véhicule.

CVE‑2026‑121147 – SSL pinning misconfiguration : la configuration réseau ne force pas correctement le pinning du certificat TLS. Un intermédiaire capable d’intercepter le trafic (Man‑in‑the‑Middle) peut ainsi accepter des certificats frauduleux, lire ou altérer les communications entre l’application et les services cloud.

Analyse d'impact et mesures correctives

Ces failles offrent un vecteur d’accès complet aux services connectés de Tata Motors, incluant la commande à distance du véhicule, la consultation de l’état de santé et l’historique des trajets. L’exploitation combinée des CVE‑2026‑121144 et CVE‑2026‑121145 permettrait à un acteur malveillant d’obtenir des privilèges d’administration, tandis que les CVE‑2026‑121146 et CVE‑2026‑121147 facilitent la persistance et l’interception de données en transit. Le score de gravité attribué par le CERT‑In est « HIGH », reflétant le risque d’usurpation d’identité et de manipulation de fonctions critiques du véhicule.

La réponse recommandée consiste à mettre à jour les applications vers les versions corrigées : iRA 2.0 ≥ 26.8.2 et iRA.ev ≥ 26.9.1. Ces versions intègrent la suppression des secrets codés, la validation stricte des URL dans WebView, la désactivation de la journalisation des tokens en production et le renforcement du pinning SSL. En complément, les équipes de développement doivent adopter des pratiques de secret management (extraction des clés hors du code source), appliquer le principe du moindre privilège aux comptes de service et activer le chiffrement des logs sensibles. Une revue de sécurité continue, incluant des tests d’intrusion ciblant les composants WebView et les flux TLS, est indispensable pour garantir la résilience des services connectés à l’avenir.