Volvo/Eicher の車両管理システムに認証なし API、74 万アカウント乗っ取り可能

要約

VE Commercial Vehicles（Volvo Group と Eicher Motors の合弁企業）が運営するインド向け車両管理プラットフォーム「My Eicher」に、認証なしで内部 API に接続できる脆弱性が発見された。攻�リサーチャーは 748k アカウント、676k 台の車両、250 万件の OTP 履歴にアクセス可能であることを確認した。OTP と API を組み合わせることで任意のアカウント乗っ取りが可能であり、攻撃者は数百台の車両からなる企業の全フリートを制御できた。さらに Aadhaar カード、運転免許証など 76k 件の個人識別文書も露出していた。2025 年 11 月に報告され、同月 20 日に修正された。