Tata Motors behebt Schwachstellen in E-Dukaan und FleetEdge nach AWS-Schlüssel-Lücke

Tata Motors hat 2023 mehrere Sicherheitslücken auf seinen öffentlich zugänglichen Plattformen E-Dukaan und FleetEdge geschlossen. Entdeckt wurden die Schwachstellen von einem Cybersicherheitsforscher, der später Details dazu veröffentlichte. Laut dem Forscher ermöglichte eine der Lücken den Zugriff auf Amazon Web Service (AWS)-Schlüssel, wodurch potenziell Unternehmensdaten heruntergeladen oder unbefugte Dateien auf Amazon-Server hochgeladen werden konnten.

In einem Blogbeitrag berichtete der Sicherheitsforscher Eaton Zveare, dass er 2023 Schwachstellen auf E-Dukaan, dem E-Marktplatz für Ersatzteile von Tata Motors, gefunden habe. Auch FleetEdge, die Flottenmanagement- und Tracking-Plattform des Unternehmens, wies Sicherheitsmängel auf. Zveare veröffentlichte Details zu vier zentralen Schwachstellen auf diesen Plattformen.

Tata Motors teilte TechCrunch mit, dass die gemeldeten Lücken im selben Jahr erkannt und „vollständig behoben“ worden seien. Laut Zveare wurden die AWS-Schlüssel in Klartext offengelegt, was Missbrauch ermöglicht hätte: Hacker hätten auf Dateien zugreifen, „bösartige Inhalte hochladen“ und hohe Serverkosten verursachen können. Die betroffenen Websites hosten demnach mehr als 70 Terabyte an Daten mit sensiblen Kundeninformationen.

Zveare entdeckte zudem eine Schwachstelle im Datenanalyse-Tool Tableau, die ihm Backdoor-Zugriff auf interne Server erlaubte. So konnte er sich ohne Passwort als Administrator anmelden und Einsicht in Projekte, Finanzberichte und Händler-Dashboards gewinnen.

Tata Motors betonte, dass seine Cybersicherheitsinfrastruktur regelmäßig von führenden Firmen überprüft werde und Zugriffsprotokolle führen, um unbefugte Aktivitäten zu erkennen. Das Unternehmen arbeitet aktiv mit Sicherheitsforschern zusammen, um seine Online-Systeme abzusichern und Cyberangriffe zeitnah abzuwehren.

Der indische Automobilhersteller ist in 125 Ländern vertreten. Ursprünglich auf Nutzfahrzeuge spezialisiert, ist das Unternehmen inzwischen auch auf Pkw und vierrädrige Elektrofahrzeuge aktiv. Viele Spitzenmodelle verfügen über Connected-Car-Funktionen, die Standortdaten, Geschwindigkeit und persönliche Informationen des Besitzers an dessen Smartphone übertragen – meist über Unternehmensserver. Dies unterstreicht die Bedeutung, Sicherheitslücken frühzeitig zu identifizieren und zu schließen.

Bild/Quelle: https://depositphotos.com/de/home.html