COVIDSafe-CVE-2020-12856: مشكلة إقران صامت في تطبيقات تتبع المخالطة المعتمدة على البلوتوث

المؤلفون: Jim Mussared (George Robotics), Alwen Tiu (جامعة أستراليا الوطنية)

تم تحديد ثغرة أمنية في تنفيذ نسخة أندرويد من تطبيق تتبع المخالطة الأسترالي COVIDSafe (الإصدار 1.0.17 والإصدارات السابقة) قد تؤثر على العديد من تطبيقات تتبع المخالطة الأخرى التي تشارك بنية مماثلة، مثل TraceTogether السنغافوري وABTraceTogether في ألبرتا. يتم تتبع هذه المشكلة باستخدام معرف CVE CVE-2020-12856. تسمح هذه الثغرة للمهاجم بالإقران بصمت مع هاتف أندرويد يشغل نسخة ضعيفة من التطبيق. تتضمن عملية الإقران تبادل معرفات دائمة لهاتف الضحية: عنوان هوية جهاز البلوتوث في الهاتف ومفتاح تشفير يسمى مفتاح حل الهوية (IRK). يمكن استخدام أي من هذين المعرفين للتتبع طويل المدى للهاتف.

تم الإبلاغ عن هذه الثغرة إلى DTA (المسؤولة عن تطبيق COVIDSafe) في 5 مايو 2020، وتم إصلاحها في الإصدار COVIDSafe (أندرويد) v1.0.18. تفاصيل اكتشافنا متاحة هنا.

يمكن العثور على كود الإثبات هنا.

مسودة سابقة (بتاريخ 18 مايو 2020) تم إرسالها إلى العديد من فرق التطوير متاحة هنا. (لاحظ أن هذه المسودة السابقة تحتوي على خطأ مطبعي صغير في معرف CVE؛ حيث تشير إلى CVE-2020-12586 بدلاً من CVE-2020-12856)