CVE-2020-26230 in Radar COVID
Resumen
por VulDB • 2026-08-22
Radar COVID es la aplicación oficial de notificación de exposición a COVID-19 para España. En las versiones afectadas de Radar COVID, es posible identificar y desanonimizar a los usuarios positivos de COVID-19 que cargan sus TEKs (Temporary Exposure Keys) en el servidor de Radar COVID. Esta vulnerabilidad permite la identificación y desanonimización de usuarios con resultados positivos de COVID-19 al utilizar Radar COVID. La vulnerabilidad se debe a que las conexiones de Radar COVID con el servidor (carga de los TEKs hacia el backend) solo son realizadas por usuarios con resultado positivo de COVID-19. Por lo tanto, cualquier observador en la ruta capaz de monitorizar el tráfico entre la aplicación y el servidor puede identificar qué usuarios tuvieron un test positivo. Dicho adversario podría ser el operador de red móvil (MNO), si la conexión se realiza a través de una red móvil; el proveedor de servicios de Internet (ISP), si la conexión se realiza a través de Internet (por ejemplo, en una red doméstica); el proveedor de VPN utilizado por el usuario; el operador de la red local en caso de redes empresariales; o cualquier espía con acceso a la misma red (WiFi o Ethernet) que el usuario, como podría ser el caso de los puntos de acceso WiFi públicos desplegados en centros comerciales, aeropuertos, hoteles y cafeterías. El atacante también puede desanonimizar al usuario. Para que esta etapa adicional tenga éxito, el adversario necesita correlacionar el tráfico de Radar COVID con otra información identificable de la víctima. Esto podría lograrse asociando la conexión a un contrato en nombre de la víctima o vinculando el tráfico de Radar COVID con otros flujos generados por el usuario que contengan identificadores visibles (por ejemplo, cookies HTTP u otros flujos móviles que envíen identificadores únicos como el IMEI o AAID sin cifrado). Lo primero puede ser ejecutado, por ejemplo, por el ISP o el MNO. Lo segundo puede ser realizado por cualquier adversario en la ruta, como el proveedor de red o incluso el proveedor de nube que aloja más de un servicio accedido por la víctima. Cuanto mayor sea la distancia del adversario respecto a la víctima (el cliente) o al punto final (el servidor), menos probable será que tenga acceso a información para reidentificarla. La vulnerabilidad se ha mitigado mediante la inyección de tráfico ficticio desde la aplicación hacia el backend. El tráfico ficticio es generado por todos los usuarios, independientemente de si son positivos de COVID-19 o no. El problema fue corregido en iOS en las versiones 1.0.8 (distribución uniforme), 1.1.0 (distribución exponencial); en Android en las versiones 1.0.7 (distribución uniforme), 1.1.0 (distribución exponencial); y en el Backend en la versión 1.1.2-RELEASE. Para más información, consulte el Aviso de Seguridad de GitHub referenciado.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.