PT-2020-15832 · Google · Gaen Protocol

Stefan Marsiske · Publicado 2020-10-06 · Atualizado 2024-08-04 · CVE-2020-24722

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.9

Média

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

Protocolo GAEN (versões afetadas não especificadas)

Descrição

Foi detectada uma falha no protocolo GAEN, utilizado em aplicativos relacionados à COVID-19 nos sistemas Android e iOS. O bloco de metadados criptografados com um valor TX não possui uma soma de verificação, o que permite que a inversão de bits amplifique um ataque de contaminação. Isso pode causar a desanonimização dos metadados e a inflação da pontuação de risco. A posição do fornecedor é que a autenticação de potência TX não seria uma defesa útil contra ataques de retransmissão.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Enumeração de Fraquezas

CWE-294

Identificadores relacionados

CVE-2020-24722

Produtos afetados

Gaen Protocol

Referências · 8

• 🔥 http://seclists.org/fulldisclosure/2020/Oct/12 · Exploit
• 🔥 http://packetstormsecurity.com/files/159496/GAEN-Protocol-Metadata-Deanonymization-Risk-Score-Inflation.html · Exploit
• https://github.com/google/exposure-notifications-internals/blob/main/en-risks-and-mitigations-faq.md#additional-considerations · Nota
• https://blog.google/inside-google/company-announcements/update-exposure-notifications · Nota
• https://t.me/defcon_news/58689 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-24722 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-24722 · Aviso do Fabricante
• https://t.me/cvenotify/89025 · Publicação no Telegram