印度 CERT-In 在 11 月 4 日发布安全公告，披露塔塔汽车 iRA 2.0（燃油车型）、iRA.ev（电动车型）App 存在 4 个高危漏洞，编号 CVE-2026-121144~CVE-2026-121147；漏洞入口全部在手机 App 侧，攻击者可窃取凭据、冒充车主访问车辆云端服务，但风险边界限定在 App 与 TSP 云端之间，不代表可以直接入侵车内电控单元，该 App 提供车况查询、车辆健康监控、行程记录、部分远程控车能力，大量塔塔燃油、电动车用户在使用旧版本（iRA2.0 ≤26.7.3、iRA.ev ≤26.7.2）。很多人会混淆 “车联网 App 漏洞 = 车辆被直接接管”，这套攻击链路是：利用 App 缺陷拿到有效会话凭证，再通过云端后台下发车辆指令；如果云端侧还有二次鉴权、车辆端隔离机制，会进一步限制危害范围。四个漏洞分别为 App 包硬编码密钥凭据、WebView 源校验薄弱、调试日志泄露 Token、证书固定失效。塔塔官方反馈已经在 8–9 月分批推送修复版本（iRA2.0 26.8.2、iRA.ev 26.9.1），并称没有证据发现用户凭据、车辆数据被实际窃取利用。
四类漏洞详情表
| CVE 编号 | 漏洞描述 | 攻击前提 | 核心危害 |
|---|---|---|---|
| CVE-2026-121144 | App 安装包内置硬编码服务账号凭据、API Key、授权 Token | 攻击者直接下载 App 安装包反编译提取 | 获取后端服务访问权限，批量查询、操作车辆业务 |
| CVE-2026-121145 | WebView 对加载 URL、访问源校验不足 | 诱导用户在 App 内打开恶意网页 | 恶意页面劫持上下文，窃取当前用户 Bearer 令牌，冒充车主 |
| CVE-2026-121146 | 认证会话 Token 写入调试日志 | 拿到目标手机本地日志读取权限 | 提取用户有效会话，访问该车的车辆数据与远程服务 |
| CVE-2026-121147 | SSL 证书钉扎实现错误、校验失效 | 和用户处于同一网络，可做中间人劫持 | 窃听、篡改 App 和塔塔云端之间传输的车辆数据、指令报文 |
风险边界梳理清单
✅ 风险覆盖范围
- 用户身份冒充：拿到 Token 后，以车主身份查询车况、行程、电池信息（电车）
- 云端业务滥用：硬编码密钥可被用于批量调用车联网后端 API
- 通信链路劫持：中间人场景下窃取隐私数据、篡改上行下行报文
- 依赖云端能力：所有控车、查车动作都走 TSP 平台转发
❌ 风险不包含（重点边界）
- 不直接突破车载 T-BOX、车内 CAN 总线、ECU；漏洞入口是手机 App，不是车端
- 不代表无需账号密码就能无差别远程开锁 / 启动，最终权限还受云端业务策略约束
- 漏洞只针对移动端 App，车辆硬件本身没有被爆出原生漏洞
攻击门槛对比
- 硬编码密钥漏洞：门槛最低，只需要拿到安装包反编译，无需接触受害者手机
- WebView 钓鱼漏洞：需要社会工程学诱导点击恶意链接，被动触发
- 日志泄露 Token：必须本地访问目标手机日志，属于本机劫持
- 证书钉扎失效中间人攻击：需要同一局域网，实施网络劫持，门槛最高
安全启示与处置建议
- 及时升级到官方修复版本，停用 26.7.3/26.7.2 及更早版本
- 车联网安全要拆分三层：手机 App、TSP 云端、车载终端；App 侧漏洞是最常见的攻击入口
- 厂商不能把密钥、服务 Token 打包在 App 二进制内，敏感凭据必须走动态下发、短期时效 Token
- 证书钉扎、WebView 源校验、日志脱敏是移动车联网 App 必须落地的基础控制点
- 即使 App 漏洞被利用，云端增加操作二次验证、风控告警、指令限流，也能缩小危害
【相关 FAQ】
问题 1：塔塔车联网 iRA App 这四类漏洞，是不是意味着攻击者可以直接黑进车子电控？
回答 1：塔塔 iRA App 四类漏洞入口在手机 App，只能拿到凭证去调用云端车联网服务，不会直接入侵车内 ECU、CAN 总线；能否下发高危控车指令，取决于云端平台的二次权限控制策略。
问题 2：塔塔 iRA App 四个漏洞里面哪个门槛最低，危害最大？
回答 2：CVE-2026-121144 硬编码密钥漏洞门槛最低，攻击者下载 App 安装包反编译就能提取 API 密钥和服务凭据，可批量访问后端车辆服务，风险面更广。
问题 3：塔塔 iRA App 漏洞已经修复了吗，新版号是多少？
回答 3：塔塔已经在 8–9 月推送修复包，修复版本 iRA 2.0 为 26.8.2、iRA.ev 为 26.9.1；旧版是 iRA2.0 ≤26.7.3、iRA.ev ≤26.7.2，需要用户手动或者自动更新。
问题 4：车联网 App 漏洞的风险边界怎么理解，攻击链路是什么样？
回答 4：攻击链路是攻击者利用 App 缺陷拿到会话凭据，冒充车主身份向塔塔 TSP 云端发起请求，云端再转发指令到车辆；风险边界就是：漏洞在 App 侧，车端本身没有被直接攻破，攻击完全依赖云端转发通道。
【参考资料】
[2026-11-04] CERT-In 公告 CIVN-2026-0537 Tata iRA App Vulnerability Advisory
[2026-11-05] Security News：Tata Motors iRA App four high severity flaws disclosure
[2026-11-07] 谈思实验室：塔塔 iRA 车联网 App 漏洞风险分析
[2026-11-06] CISOTribune：Tata statement on completed rollout of patches
【免责声明】
本内容为 CERT-In 公开公告的漏洞科普解读，漏洞实际可利用效果受云端风控、车辆版本、业务权限策略影响；漏洞利用仅可用于合规授权安全测试，禁止未经授权尝试攻击任何车联网系统；车辆远程操作本身存在多层管控，不代表漏洞一定能实现解锁、启动等高风险动作。