Las aplicaciones móviles iRA 2.0 e iRA.ev de Tata Motors contienen cuatro fallos de seguridad que podrían permitir que los atacantes roben credenciales, suplanten a los propietarios de los coches y accedan a los servicios del vehículo. El Equipo de Respuesta a Emergencias Informáticas de la India, CERT-In, calificó estos problemas como de severidad Alta en un aviso publicado el 4 de noviembre de 2026.

La advertencia cubre las versiones 26.7.3 y anteriores de iRA 2.0, junto con las versiones 26.7.2 y anteriores de iRA.ev. Estas aplicaciones sirven a clientes de vehículos de gasolina, diésel y eléctricos, proporcionando comandos remotos del vehículo, comprobaciones de estado, monitoreo de salud e información de viaje. CERT-In otorga el crédito al investigador de seguridad Pranav Rajendran por informar sobre estas vulnerabilidades.

Credenciales integradas y tokens robados

El primer fallo, CVE-2026-121144, involucra credenciales de cuentas de servicio, claves API y tokens de autorización almacenados dentro del paquete de la aplicación. Un atacante no necesita iniciar sesión para descargar el paquete y extraer estos secretos. El problema refleja riesgos previamente cubiertos en informes sobre credenciales hardcodeadas en aplicaciones móviles.

Aquellas credenciales expuestas podrían proporcionar acceso a servicios de backend, permitiendo potencialmente el robo de datos u operaciones no autorizadas. Esta debilidad es importante porque la información sensible proviene de la propia aplicación distribuida. Un atacante no necesitaría primero robar la contraseña de un propietario en particular para extraer las credenciales integradas.

El CVE-2026-121145 afecta a WebView, el componente que muestra contenido web dentro de las aplicaciones. Comprobaciones insuficientes en las URLs cargadas y sus orígenes podrían permitir que contenido malicioso interactúe con las funciones de la aplicación y obtenga tokens de autenticación "bearer" activos. Un atacante podría entonces hacer un mal uso de esos tokens para suplantar al propietario asociado.

Según el aviso de CERT-In, el CVE-2026-121146 expone tokens de autenticación a través de los registros (logs) de la aplicación utilizados para el desarrollo y la depuración. La explotación requiere acceso local a dichos registros. Un atacante que recupere los tokens de sesión expuestos podría utilizarlos indebidamente para acceder a la información y los servicios del vehículo como si fuera el usuario afectado.

El cuarto fallo, CVE-2026-121147, implica una implementación incorrecta del "SSL certificate pinning" en la configuración de seguridad de la red. CERT-In afirma que los controles resultantes son ineficaces. Un atacante posicionado para interceptar el tráfico de red podría explotar esta debilidad para interceptar o cambiar las comunicaciones entre la aplicación móvil y sus servicios de backend.

Los hallazgos resaltan cómo la seguridad de los vehículos conectados depende de las aplicaciones móviles y los servidores de soporte, no solo del hardware del vehículo. Investigaciones anteriores sobre vulnerabilidades de API automotrices documentaron debilidades separadas que afectaban a los servicios de vehículos de varios fabricantes. Esos hallazgos proporcionan contexto, pero no deben asumirse sus impactos específicos en el control del vehículo para Tata Motors.

Versiones corregidas disponibles

CERT-In aconseja a los usuarios afectados que actualicen iRA 2.0 a la versión 26.8.2 e iRA.ev a la versión 26.9.1. Su aviso enlaza a los listados oficiales de Google Play y Apple App Store para ambas aplicaciones. Instalar la versión recomendada es la solución establecida por la agencia para solucionar estas vulnerabilidades.

El aviso no reporta explotación activa, no identifica modelos de vehículos afectados, ni confirma que los atacantes hayan demostrado control sobre funciones de conducción específicas. Sus riesgos declarados se refieren a información sensible, suplantación de usuario y cambios de datos no autorizados utilizando los privilegios de un propietario. Esta distinción mantiene la advertencia centrada en las debilidades documentadas de la aplicación en lugar de afirmaciones no verificadas sobre el control total del vehículo.