CVE-2020-26230

Radar COVID, İspanya'nın resmi COVID-19 maruziyet bildirim uygulamasıdır. Radar COVID'in etkilenen sürümlerinde, Radar COVID TEK'lerini Radar COVID sunucusuna yükleyen COVID-19 pozitif kullanıcılarının tanımlanması ve anonimliğinin kaldırılması mümkündür. Bu güvenlik açığı, Radar COVID kullanılırken COVID-19 pozitif kullanıcılarının kimliğinin belirlenmesine ve anonimliklerinin kaldırılmasına olanak tanır. Güvenlik açığının nedeni, Radar COVID'in sunucuyla olan bağlantılarının (TEK'lerin arka uca yüklenmesi) yalnızca COVID-19 pozitifleri tarafından gerçekleştirilmesidir. Bu nedenle, uygulama ile sunucu arasındaki trafiği izleme yeteneğine sahip herhangi bir yol üstü gözlemci, hangi kullanıcıların pozitif test sonucuna sahip olduğunu belirleyebilir. Böyle bir saldırgan; bağlantı mobil ağ üzerinden yapılıyorsa mobil ağ operatörü (MNO), internet (örneğin ev ağı) üzerinden yapılıyorsa İnternet Servis Sağlayıcısı (ISP), kullanıcı tarafından kullanılan bir VPN sağlayıcısı, kurumsal ağlar durumunda yerel ağ operatörü veya alışveriş merkezleri, havalimanları, oteller ve kafelerde konuşlandırılan halka açık WiFi noktalarında olduğu gibi kullanıcıyla aynı ağa (WiFi veya Ethernet) erişimi olan herhangi bir dinleyici olabilir. Saldırgan ayrıca kullanıcının anonimliğini de kaldırabilir. Bu ek aşamanın başarılı olması için saldırganın, Radar COVID trafiğini kurbanın diğer tanımlanabilir bilgileriyle ilişkilendirmesi gerekir. Bu, bağlantının kurbanın adını içeren bir sözleşmeyle ilişkilendirilmesiyle veya Radar COVID trafiğinin, açık metin olarak tanımlayıcılar içeren diğer kullanıcı kaynaklı akışlarla (örneğin HTTP çerezleri veya IMEI ya da AAID gibi benzersiz tanımlayıcıları şifrelemeden gönderen diğer mobil akışlar) ilişkilendirilmesiyle sağlanabilir. İlk işlem örneğin İnternet Servis Sağlayıcısı veya MNO tarafından yürütülebilir. İkinci işlem ise ağ sağlayıcısı ve hatta kurbanın eriştiği birden fazla hizmete ev sahipliği yapan bulut sağlayıcısı gibi herhangi bir yol üstü saldırgan tarafından yürütülebilir. Saldırgan kurbandan (istemci) veya uç noktadan (sunucu) ne kadar uzaksa, yeniden tanımlama bilgilerine erişme olasılığı o kadar düşük olabilir. Güvenlik açığı, uygulamadan arka uca sahte trafik (dummy traffic) enjekte edilerek giderilmiştir. Sahte trafik, tüm kullanıcılar tarafından COVID-19 pozitif olup olmadıklarına bakılmaksızın bağımsız olarak oluşturulur. Sorun; iOS sürüm 1.0.8 (tekdüze dağılım), 1.1.0 (üstel dağılım), Android sürüm 1.0.7 (tekdüze dağılım), 1.1.0 (üstel dağılım) ve Backend sürüm 1.1.2-RELEASE içerisinde düzeltilmiştir. Daha fazla bilgi için referans verilen GitHub Security Advisory'ye bakınız.