COVIDSafe-CVE-2020-12856: Un problema di associazione silenziosa nelle app di contact tracing basate su Bluetooth

Autori: Jim Mussared (George Robotics), Alwen Tiu (The Australian National University)

È stata identificata una vulnerabilità nell'implementazione della versione Android dell'app australiana di contact tracing COVIDSafe (v1.0.17 e precedenti) che potrebbe interessare molte altre app di contact tracing che condividono un'architettura simile, come TraceTogether di Singapore e ABTraceTogether dell'Alberta. Questo problema è tracciato con l'ID CVE CVE-2020-12856. Questa vulnerabilità consente a un utente malintenzionato di associarsi silenziosamente con un telefono Android che esegue una versione vulnerabile dell'app. Il processo di associazione comporta lo scambio di identificatori permanenti del telefono vittima: l'indirizzo di identità del dispositivo bluetooth nel telefono e una chiave crittografica chiamata Identity Resolving Key (IRK). Ciascuno di questi identificatori può essere utilizzato per il tracciamento a lungo termine del telefono.

Questa vulnerabilità è stata segnalata alla DTA (che è responsabile dell'app COVIDSafe) il 5 maggio 2020 ed è stata corretta in COVIDSafe (Android) v1.0.18. I dettagli della nostra scoperta sono disponibili qui.

Il codice proof-of-concept può essere trovato qui.

Una bozza precedente (datata 18 maggio 2020) inviata a vari team di sviluppatori è disponibile qui. (Nota: questa bozza precedente contiene un piccolo errore di battitura nell'ID CVE; si riferisce a CVE-2020-12586 invece di CVE-2020-12856)