- Yama var
- Son 7 gün
- CWE-798
CVE-2026-121144
Tata Motors iRA ve iRA.ev mobil uygulamasında sabit kodlanmış kimlik bilgileri
- Yayımlandı
- Güncellendi
- 4 Kas 2026
- Açık yaşı
- 1 gün
- Kaydı açan
- CERT-In
Yönetici özeti
Bu açık, araç uygulamalarının içine gizlenmiş erişim anahtarlarının herkes tarafından indirilip okunabilmesinden kaynaklanmaktadır. Bu durum, şirketin arka uç sistemlerine ve müşteri verilerine izinsiz erişim riskini artırır. Kullanıcıların ve yöneticilerin uygulamayı mümkün olan en kısa sürede güncellemesi önerilir.
ÖzetTürkçe
iRA 2.0 ve iRA.ev mobil uygulamalarının paketi içine gömülü hizmet hesabı kimlik bilgileri, API anahtarları ve yetkilendirme belirteçleri bulunmaktadır. Kimlik doğrulaması yapılmadan uygulama paketi indirilebildiği için saldırgan bu gizli bilgileri çıkarabilir. Etkilenen ürünler Tata Motors iRA 2.0 ve iRA.ev uygulamalarıdır.
Saldırgan ne yapabilir?
Saldırgan, gömülü kimlik bilgileriyle ilişkili arka uç servislerine yetkisiz erişim sağlayabilir, hassas bilgilere ulaşabilir ve sistem üzerinde yetkisiz işlemler gerçekleştirebilir.
Kaynaktaki açıklama (İngilizce)
This vulnerability exists in the iRA 2.0 and iRA.ev mobile applications due to presence of hardcoded service account credentials, API Keys and authorization tokens within the application package. An unauthenticated remote attacker could exploit this vulnerability by downloading application package and extracting embedded sensitive information.
Successful exploitation of this vulnerability could allow the attacker to gain unauthorized access to associated backend services and potentially access sensitive information or perform unauthorized operations on the targeted system.
Üreticinin çözüm notu (İngilizce)
Upgrade to latest versions:
Tata Motors iRA 2.0 to version 26.8.2
Tata Motors iRA.ev to version 26.9.1
Ne yapmalı?
- Tata Motors iRA 2.0 uygulamasını 26.8.2 sürümüne, iRA.ev uygulamasını ise 26.9.1 sürümüne yükseltin. Üretici
- Uygulamanın eski sürümlerini kullanan cihazlarda güncellemeyi zorunlu hale getirin ve kullanımda kalan eski sürümleri tespit edin. Genel öneri
- Uygulamanın arka uç servislerinde kullanılan hizmet hesabı kimlik bilgilerini, API anahtarlarını ve belirteçleri iptal edip yenileyin, çünkü eski sürümlerden sızmış olabilirler. Genel öneri
Ek önlemler
- Mobil uygulama paketlerinde gömülü sır, anahtar ve parola bulunmadığını kod inceleme ve otomatik tarama araçlarıyla düzenli olarak kontrol edin. Genel öneri
- Arka uç servisleri için en az yetki ilkesini uygulayın ve hizmet hesaplarının erişimini yalnızca gerekli işlemlerle sınırlandırın. Genel öneri
- Hizmet hesaplarına ve API anahtarlarına yönelik olağan dışı erişim girişimlerini izleyin ve kayıt altına alın. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler2 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Tata Motors iRA 2.0 | Sürüm belirtilmemiş | – |
| Tata Motors iRA.ev | Sürüm belirtilmemiş | – |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- cert-in.org.in/s2cMainServlet Üçüncü taraf
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.