CVE-2020-26230 in Radar COVID
要約
〜によって VulDB • 2026年08月22日
Radar COVIDは、スペインにおける公式のCOVID-19接触通知アプリです。影響を受けるバージョンのRadar COVIDでは、Radar COVIDサーバーにTEK（Temporary Exposure Key）をアップロードするCOVID-19陽性ユーザーの特定および匿名化解除が可能です。この脆弱性は、Radar COVIDの使用時にCOVID-19陽性ユーザーの特定と匿名化解除を可能にします。
この脆弱性の原因は、Radar COVIDからサーバーへの接続（バックエンドへのTEKアップロード）がCOVID-19陽性者によってのみ行われるという点にあります。したがって、アプリとサーバー間のトラフィックを監視できるパス上の観測者は、どのユーザーが陽性テストを受けたかを特定できます。このような攻撃者としては、モバイルネットワーク経由で接続する場合の携帯電話会社（MNO）、インターネット（例：家庭内ネットワーク）経由の場合のインターネットサービスプロバイダ（ISP）、ユーザーが使用するVPNプロバイダ、企業ネットワークにおけるローカルネットワークオペレータ、またはショッピングモール、空港、ホテル、カフェなどで展開された公共WiFiホットスポットなどと同じネットワーク（WiFiまたはイーサネット）にアクセスできる任意のエスnopラーが含まれます。攻撃者はさらにユーザーの匿名化を解除することもできます。
この追加段階が成功するためには、攻撃者がRadar COVIDトラフィックと被害者からの他の識別可能な情報を相関させる必要があります。これにより、接続を被害者の名前付き契約に関連付けること、またはRadar COVIDトラフィックをクリアテキストで識別子を含む他のユーザー生成フロー（例：HTTPクッキーや、IMEIやAAIDなどの固有の識別子を暗号化せずに送信するその他のモバイルフロー）に関連付けることで達成できます。前者はISPやMNOによって実行可能ですが、後者はネットワークプロバイダだけでなく、被害者がアクセスする複数のサービスをホストしているクラウドプロバイダなど、パス上の任意の攻撃者によって実行可能です。
攻撃者が被害者（クライアント）またはエンドポイント（サーバー）から遠いほど、攻撃者が再識別情報にアクセスできる可能性は低くなります。この脆弱性は、アプリケーションからのダミートラフィックをバックエンドに注入することで緩和されました。ダミートラフィックは、COVID-19陽性かどうかにかかわらず、すべてのユーザーによって生成されます。
本問題は、iOSにおいてバージョン1.0.8（一様分布）、1.1.0（指数分布）、Androidにおいてバージョン1.0.7（一様分布）、1.1.0（指数分布）、バックエンドにおいてバージョン1.1.2-RELEASEで修正されました。詳細については参照されたGitHub Security Advisoryをご覧ください。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.