CVE-2020-26230

Radar COVID İspaniyanın rəsmi COVID-19 təmas bildirişi tətbiqidir. Radar COVID-in təsirlənmiş versiyalarında, Radar COVID TEK-lərini Radar COVID serverinə yükləyən COVID-19 müsbət istifadəçilərinin identifikasiyası və anonimliyin pozulması mümkündür. Bu zəiflik Radar COVID istifadə edildikdə COVID-19 müsbət istifadəçilərinin identifikasiyasına və anonimliyin pozulmasına şərait yaradır. Zəifliyə səbəb olan amil odur ki, serverlə Radar COVID bağlantıları (TEK-lərin backend-ə yüklənməsi) yalnız COVID-19 müsbət şəxslər tərəfindən həyata keçirilir. Buna görə də, tətbiq və server arasındakı trafiki izləmək imkanına malik hər hansı bir yoldakı müşahidəçi (on-path observer) hansı istifadəçilərin test nəticəsinin müsbət olduğunu müəyyən edə bilər. Belə bir hücumçu, əgər bağlantı mobil şəbəkə vasitəsilə qurulubsa mobil şəbəkə operatoru (MNO), internet vasitəsilə (məsələn, ev şəbəkəsi) qurulubsa İnternet Xidmət Provayderi (ISP), istifadəçinin istifadə etdiyi VPN provayderi, korporativ şəbəkələrdə yerli şəbəkə operatoru və ya istifadəçi ilə eyni şəbəkəyə (WiFi və ya Ethernet) çıxışı olan hər hansı dinləyici ola bilər (məsələn, ticarət mərkəzləri, hava limanları, otellər və kafelərdə quraşdırılmış ictimai WiFi nöqtələri). Hücumçu həmçinin istifadəçinin anonimliyini poza bilər. Bu əlavə mərhələnin uğurlu olması üçün hücumçu Radar COVID trafikini qurbanın digər identifikasiya edilə bilən məlumatları ilə əlaqələndirməlidir. Bu, bağlantını qurbanın adı ilə bağlanmış müqavilə ilə əlaqələndirməklə və ya Radar COVID trafikini açıq şəkildə identifikatorlar ehtiva edən digər istifadəçi axınları ilə (məsələn, HTTP kukiləri və ya şifrələnmədən IMEI və ya AAID kimi unikal identifikatorlar göndərən digər mobil axınlar) əlaqələndirməklə əldə edilə bilər. Birinci variant, məsələn, İnternet Xidmət Provayderi və ya MNO tərəfindən icra edilə bilər. İkinci variant isə şəbəkə provayderi və ya hətta qurbanın daxil olduğu birdən çox xidməti host edən bulud provayderi kimi hər hansı bir yoldakı hücumçu tərəfindən icra edilə bilər. Hücumçu qurbandan (müştəri) və ya son nöqtədən (server) nə qədər uzaq olsa, onun yenidən identifikasiya məlumatlarına çıxışının olması ehtimalı bir o qədər azdır. Zəiflik, tətbiqdən backend-ə saxta (dummy) trafikin yönləndirilməsi ilə aradan qaldırılıb. Saxta trafik bütün istifadəçilər tərəfindən, onların COVID-19 müsbət olub-olmamasından asılı olmayaraq generasiya edilir. Problem iOS-da versiya 1.0.8 (uniform distribution), 1.1.0 (exponential distribution), Android-də versiya 1.0.7 (uniform distribution), 1.1.0 (exponential distribution) və Backend-də versiya 1.1.2-RELEASE-da düzəldilib. Daha ətraflı məlumat üçün istinad verilmiş GitHub Security Advisory-yə baxın.