PT-2020-6904 · Unknown+1 · React Native Bluetooth Scan+1

Thai Duong · Publicado 2020-04-27 · Atualizado 2024-08-04 · CVE-2020-12270

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do software vulnerável e versões afetadas

Bluezone versão 1.0.0

Descrição

O problema está relacionado ao uso de valores aleatórios insuficientes no componente React Native Bluetooth Scan do aplicativo Bluezone. Isso poderia permitir que um invasor remoto interferisse no rastreamento de contatos da COVID-19 usando vários IDs. O fornecedor contesta a relevância deste relatório, afirmando que o destinatário de um alerta saberá que se trata de um falso alerta caso a comparação do histórico de contatos falhe.

Recomendações

Para a versão 1.0.0 do Bluezone, considere restringir o uso do componente React Native Bluetooth Scan até que uma correção esteja disponível. Como solução alternativa temporária, evite usar os IDs alfanuméricos de seis caracteres no componente afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Use of Insufficiently Random Values

Enumeração de Fraquezas

CWE-330

Identificadores relacionados

BDU:2023-05492

CVE-2020-12270

Produtos afetados

Bluezone

React Native Bluetooth Scan

Referências · 12

• 🔥 https://vnhacker.blogspot.com/2020/04/vietnams-contact-tracing-app_26.html · Exploit
• https://github.com/BluezoneGlobal/bluezone-app/blob/afa15fcec391f0edc51d0486a4ca84dd2520bbb3/package.json#L27 · Nota
• https://github.com/BluezoneGlobal/bluezone-app/blob/afa15fcec391f0edc51d0486a4ca84dd2520bbb3/CHANGELOG.md · Nota
• https://github.com/BluezoneGlobal/react-native-bluetooth-scan/blob/d9ee70fd594093a30e50b6e62a7593a8397c2dab/lib/android/src/main/java/com/scan/BluezonerIdGenerator.java#L18-L28 · Nota
• https://github.com/BluezoneGlobal/react-native-bluetooth-scan/blob/d9ee70fd594093a30e50b6e62a7593a8397c2dab/lib/android/src/main/java/com/scan/TraceCovidModule.java#L98 · Nota
• https://github.com/BluezoneGlobal/react-native-bluetooth-scan/blob/d9ee70fd594093a30e50b6e62a7593a8397c2dab/lib/android/src/main/AndroidManifest.xml#L11-L12 · Nota
• https://t.me/cvenotify/88968 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2020-12270 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2020-12270 · Aviso do Fabricante
• https://bdu.fstec.ru/vul/2023-05492 · Nota de Segurança
• https://bluezone.ai/CVE · Nota
• https://t.me/cvenotify/3222 · Publicação no Telegram