COVIDSafe-CVE-2020-12856: Bluetoothベースの接触追跡アプリにおけるサイレントペアリングの問題

著者: Jim Mussared (George Robotics), Alwen Tiu (オーストラリア国立大学)

オーストラリアのCOVIDSafe (v1.0.17以前) のAndroid版接触追跡アプリの実装において、シンガポールのTraceTogetherやアルバータ州のABTraceTogetherなど、類似のアーキテクチャを共有する他のいくつかの接触追跡アプリにも影響を与える可能性のある脆弱性が特定されました。この問題はCVE ID CVE-2020-12856 で追跡されています。 この脆弱性により、攻撃者は脆弱なバージョンのアプリを実行しているAndroid端末とサイレントにペアリングすることが可能です。ペアリングプロセスでは、被害者端末の永続的な識別子、つまり端末内のBluetoothデバイスのIDアドレスと、Identity Resolving Key (IRK) と呼ばれる暗号鍵が交換されます。これらの識別子のいずれかを使用して、端末を長期間追跡することができます。

この脆弱性は、2020年5月5日にDTA（COVIDSafeアプリを管轄）に報告され、COVIDSafe (Android) v1.0.18で修正されました。 発見の詳細はこちらからご覧いただけます。

概念実証コードはこちらにあります。

2020年5月18日付の初期ドラフト（さまざまな開発チームに送付されたもの）はこちらから入手可能です。 （注意：この初期ドラフトにはCVE IDに小さな誤字があり、CVE-2020-12856ではなくCVE-2020-12586と記載されています。）