CVE-2020-35693
Açıklama
Android 7.1.1 ve öncesini çalıştıran bazı Samsung telefonlarda ve tabletlerde; hedef cihazın Bluetooth özelliği açık olduğunda ve bağlanabilir bir BLE reklamı sunan bir uygulama çalıştırdığında, saldırgan tarafından kontrol edilen bir Bluetooth Low Energy (BLE) cihazının herhangi bir kullanıcı etkileşimi olmaksızın savunmasız hedef cihazla sessizce eşleşmesi mümkündür. Bu tür uygulamalara örnek olarak Avustralya'nın COVIDSafe uygulaması, Singapur'un TraceTogether uygulaması veya Fransa'nın TousAntiCovid (eski adıyla StopCovid) gibi Bluetooth tabanlı temas takip uygulamaları verilebilir. Eşleştirme sürecinin bir parçası olarak, diğerlerinin yanı sıra iki adet kişisel olarak tanımlanabilir bilgi paylaşılır: hedef cihazın Bluetooth adaptörünün Kimlik Adresi (Identity Address) ve buna ilişkili Kimlik Çözümleme Anahtarı (Identity Resolving Key - IRK). Bu tanımlayıcılardan herhangi biri, uzun süreli takip için hedef cihazın yeniden kimliklendirilmesini gerçekleştirmek amacıyla kullanılabilir. Etkilenen cihazların listesi şunları içerir (ancak bunlarla sınırlı değildir): Galaxy Note 5, Galaxy S6 Edge, Galaxy A3, Tab A (2017), J2 Pro (2018), Galaxy Note 4 ve Galaxy S5.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| google android | v ≤ 7.1.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.