内嵌服务凭据
未认证远程攻击者可从安装包提取硬编码服务账户凭据、API 密钥及授权令牌，可能访问关联后端服务。
Tata Motors iRA 应用暴露内嵌凭据及车联网认证令牌
CERT-In 披露 iRA 2.0 至 26.7.3、iRA.ev 至 26.7.2 的四项漏洞：内嵌凭据、WebView 令牌暴露、日志记录令牌及无效证书锁定。分别更新至 26.8.2、26.9.1。各攻击路径前提不同，未报告确认利用或车辆控制事件。
- 披露时间
- 2026年11月4日
- 公开披露日期
- 严重程度
- 拉裤子了
- 本页收录 4 个 CVE
- 波及范围
- iRA 2.0 ≤26.7.3／iRA.ev ≤26.7.2；分别涉及安装包提取、恶意 WebView 内容、本地日志访问或流量拦截
- Tata Motors · iRA · mobile security
- 在野利用
- 未知
- CERT-In 说明漏洞，未确认实际利用或受害数量。
发生了什么
受影响应用为 Tata Motors 燃油车及电动车提供车辆信息、行程记录及远程命令等车联网服务。CERT-In 警告可能以被冒充用户权限访问及修改资料，并未演示任意控制所有车辆或整个后端失陷。
四项漏洞是不同路径，不是已证明的利用链。服务凭据提取要求取得应用安装包；WebView 漏洞要求恶意内容进入该组件；日志令牌窃取要求本地日志访问；证书锁定问题要求流量拦截位置。不能据此声称任意附近或互联网攻击者均能接管车辆。
官方修复目标为 iRA 2.0 26.8.2、iRA.ev 26.9.1。公告没有提供受影响人数、专用攻击指标、实际利用确认或既有暴露令牌安全保证。广泛使用的车联网应用存在认证暴露，且部分凭据无需账户即可从安装包提取，因此列为需要处置的事件。
马桶里有什么
WebView 来源校验不足
传入受影响 WebView 的恶意内容可能暴露实时 bearer 令牌并允许冒充用户；CNA 评估向量包含被动用户交互。
日志记录认证令牌
能访问开发或调试日志的本地攻击者，可提取会话令牌并冒充关联用户。
证书锁定无效
处于网络流量拦截位置的攻击者，可能因无效的证书锁定读取或修改应用与后端通信。
修复版本
| 产品 | 安全版本 | 备注 |
|---|---|---|
| Tata Motors iRA 2.0 | 26.8.2 | |
| Tata Motors iRA.ev | 26.9.1 |
案发时间线
2026年11月4日
CERT-In 发布 CIVN-2026-0537
高危公告列出四个 CVE、受影响版本及两个应用各自的升级目标，致谢研究者 Pranav Rajendran。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- CERT-In CIVN-2026-0537 原始公告一手来源11 月 4 日公告说明四项漏洞、不同攻击前提、受影响及修复应用版本，并链接官方商店。未确立实际攻击成功或车辆控制事件。
- CERT-In 编写的 WebView 漏洞 CNA 记录一手来源确认恶意 WebView 内容可能暴露实时 bearer 令牌并允许冒充用户；CVSS 4 向量包含被动用户交互，重复列出两个升级目标。