alwentiu/covidsafe-cve-2020-12856Una vulnerabilidad relacionada con Bluetooth en algunas aplicaciones de rastreo de contactos.
Autores: Jim Mussared (George Robotics), Alwen Tiu (The Australian National University)
Se ha identificado una vulnerabilidad en la implementación de la versión para Android de la aplicación de rastreo de contactos COVIDSafe de Australia (v1.0.17 y anteriores) que puede afectar a otras aplicaciones de rastreo de contactos que comparten una arquitectura similar, como TraceTogether de Singapur y ABTraceTogether de Alberta. Este problema se rastrea mediante el ID CVE CVE-2020-12856. Esta vulnerabilidad permite a un atacante emparejarse silenciosamente con un teléfono Android que ejecuta una versión vulnerable de la aplicación. El proceso de emparejamiento implica el intercambio de identificadores permanentes del teléfono víctima: la dirección de identidad del dispositivo Bluetooth en el teléfono y una clave criptográfica llamada Clave de Resolución de Identidad (IRK). Cualquiera de estos identificadores puede utilizarse para el seguimiento a largo plazo del teléfono.
Esta vulnerabilidad fue reportada a la DTA (responsable de la aplicación COVIDSafe) el 5 de mayo de 2020, y ha sido corregida en COVIDSafe (Android) v1.0.18. Los detalles de nuestro hallazgo están disponibles aquí.
El código de prueba de concepto se puede encontrar aquí.
Un borrador anterior (fechado el 18 de mayo de 2020) que fue enviado a varios equipos de desarrolladores está disponible aquí. (Tenga en cuenta que este borrador anterior tiene un pequeño error tipográfico en el ID CVE; se refiere a CVE-2020-12586 en lugar de CVE-2020-12856)
