PT-2020-13304 · Australian Government · Covidsafe

Publicado 2020-05-18 · Atualizado 2020-05-20 · CVE-2020-12859

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do COVIDSafe até a v1.0.17

Descrição

A vulnerabilidade permite que um invasor remoto identifique o modelo de um dispositivo ao observar dados de carga útil em texto simples no protocolo OpenTrace/BlueTrace. Isso possibilita a reidentificação de dispositivos, especialmente modelos de telefones menos comuns ou aqueles em ambientes com baixa densidade.

Recomendações

Para as versões do COVIDSafe até a v1.0.17, atualize para uma versão posterior à v1.0.17 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso aos dados de carga útil em texto simples no protocolo OpenTrace/BlueTrace até que um patch esteja disponível.

Correção

Cleartext Storage of Sensitive Information

Enumeração de Fraquezas

CWE-312

Identificadores relacionados

CVE-2020-12859

Produtos afetados

Covidsafe

Referências · 5

• https://docs.google.com/document/d/1u5a5ersKBH6eG362atALrzuXo3zuZ70qrGomWVEC27U/edit?usp=sharing · Nota
• https://health.gov.au/resources/apps-and-tools/covidsafe-app · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2020-12859 · Aviso do Fabricante
• https://t.me/cvenotify/3875 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-12859 · Nota de Segurança