iRA 2.0은 26.8.2, iRA.ev는 26.9.1로 업데이트 권고
핵심 요약
- 인도 CERT-In이 타타모터스의 iRA 차량 연결 앱에서 고위험 취약점 4건을 확인했다. 인증정보 유출과 사용자 사칭, 사칭한 사용자의 권한을 이용한 데이터 접근·변조 위험을 경고했다.
인도(India) 컴퓨터긴급대응팀(CERT-In)이 타타모터스(Tata Motors)의 차량 연결 앱 iRA 2.0과 iRA.ev에서 보안 취약점 4건을 발견하고 위험도를 높음(High)으로 평가했다. 공격자가 민감한 인증정보를 탈취하거나 사용자를 사칭해 차량 관련 정보에 접근하고 앱 데이터를 무단 변경할 수 있다는 경고다.
영향을 받는 앱은 iRA 2.0 26.7.3 이하와 iRA.ev 26.7.2 이하 버전이다. CERT-In은 각각 최신 버전인 26.8.2와 26.9.1로 업데이트할 것을 권고했다. 두 앱은 차량 상태 확인, 상태 모니터링, 주행 정보 조회, 원격 명령 기능을 제공한다.
취약점은 인증정보 저장과 웹 콘텐츠 처리, 백엔드 통신 보안에서 확인됐다. 앱에 하드코딩된 서비스 계정 인증정보·API 키·인증 토큰을 추출하면 백엔드 서비스에 무단 접근할 수 있다. WebView가 불러오는 URL과 출처를 충분히 검증하지 않는 문제도 있어 공격자가 인증 토큰을 확보해 사용자를 사칭할 수 있다.
인증 토큰이 앱 로그에 기록되는 문제는 로그에 접근한 공격자의 사용자 계정 접근에 악용될 수 있다. 네트워크 보안 설정의 SSL 인증서 피닝 구현도 부적절해 앱과 백엔드 서비스 사이에 오가는 데이터를 가로채거나 변조할 가능성이 있다. CERT-In은 사칭한 사용자의 권한으로 데이터에 무단 접근하거나 데이터를 변경할 위험을 지적했다.
원문 매체가 타타모터스 승용차 부문(Tata Motors Passenger Vehicles)에 보낸 이메일에는 답변이 오지 않았다.
