PT-2021-19522 · Google/Apple · Gaen

Joel Reardon + 1 · Publicado 2021-04-28 · Atualizado 2021-05-07 · CVE-2021-31815

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.3

Baixa

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

GAEN (também conhecido como Notificações de Exposição do Google/Apple) até 27/04/2021 no Android

Descrição

A vulnerabilidade permite que invasores obtenham informações confidenciais, como o histórico de localização do usuário, sua rede social presencial e, em alguns casos, o status de infecção por COVID-19. Isso ocorre porque os Identificadores de Proximidade Rotativos (Rolling Proximity Identifiers) e os endereços MAC são gravados no log do sistema Android. Muitos dispositivos Android possuem aplicativos que leem os dados do log do sistema e os enviam a terceiros.

Recomendações

Para o GAEN (também conhecido como Notificações de Exposição do Google/Apple) até 27/04/2021 no Android, aguarde a conclusão da implantação da correção, pois o fornecedor indicou que a implantação começou há várias semanas e será concluída nos próximos dias.

Exploit

Correção

Cleartext Transmission of Sensitive Information

Enumeração de Fraquezas

CWE-319

Identificadores relacionados

CVE-2021-31815

Produtos afetados

Gaen

Referências · 4

• 🔥 https://blog.appcensus.io/2021/04/27/why-google-should-stop-logging-contact-tracing-data · Exploit
• 🔥 https://themarkup.org/privacy/2021/04/27/google-promised-its-contact-tracing-app-was-completely-private-but-it-wasnt · Exploit
• https://osv.dev/vulnerability/CVE-2021-31815 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-31815 · Nota de Segurança