CVE-2024-23674
Açıklama
Alman Ulusal Kimlik kartındaki Online-Ausweis-Funktion eID şeması, 2024-02-15 tarihine kadar spoofing yoluyla kimlik doğrulama atlatmaya izin vermektedir. Ortadaki adam saldırganı; hükümet, tıbbi ve finansal kaynaklara erişim için bir kurbanın kimliğine bürünebilir ve ayrıca karttan kişisel verileri çıkarabilir; bu durum "sPACE (Spoofing Password Authenticated Connection Establishment)" sorunu olarak da bilinir. Bu durum, güvensiz PIN girişi (temel okuyucular için) ve eid:// deeplinking gibi faktörlerin birleşiminden kaynaklanmaktadır. Kurbanın, resmi bir uygulamanın sahte bir sürümünü yüklemeye ikna edilmesi durumunda ortaya çıkabilecek şekilde, modifiye edilmiş bir eID çekirdeği kullanıyor olması gerekir. NOT: BSI'nın görüşü, "istemci tarafında güvenli bir operasyonel ortam sağlamanın kimlik kartı sahibinin yükümlülüğü olduğu" yönündedir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| ausweisapp online-ausweis-funktion | v ≤ 2024-02-15 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.