CVE-2020-26230 in Radar COVID
Sumário
de VulDB • 02/07/2026
O Radar COVID é o aplicativo oficial de notificação de exposição à COVID-19 para a Espanha. Nas versões afetadas do Radar COVID, é possível identificar e desanonimizar usuários positivos para COVID-19 que carregam TEKs (Temporary Exposure Keys) do Radar COVID no servidor do Radar COVID. Esta vulnerabilidade permite a identificação e desanonimização de usuários positivos para COVID-19 ao utilizar o Radar COVID. A vulnerabilidade ocorre porque as conexões do Radar COVID com o servidor (carregamento de TEKs para o backend) são realizadas apenas por usuários positivos para COVID-19. Portanto, qualquer observador no caminho da rede que tenha capacidade de monitorar o tráfego entre o aplicativo e o servidor pode identificar quais usuários tiveram um teste positivo. Tal adversário pode ser a operadora de redes móveis (MNO), se a conexão for feita através de uma rede móvel; o Provedor de Serviços de Internet (ISP), se a conexão for feita pela internet (por exemplo, em uma rede doméstica); o provedor de VPN utilizado pelo usuário; o operador da rede local no caso de redes corporativas; ou qualquer espião com acesso à mesma rede (WiFi ou Ethernet) do usuário, como pode ser o caso dos pontos de acesso WiFi públicos implantados em centros comerciais, aeroportos, hotéis e cafeterias. O atacante também pode desanonimizar o usuário. Para que esta etapa adicional tenha sucesso, o adversário precisa correlacionar o tráfego do Radar COVID com outras informações identificáveis da vítima. Isso poderia ser feito associando a conexão a um contrato em nome da vítima ou correlacionando o tráfego do Radar COVID com outros fluxos gerados pelo usuário que contenham identificadores em texto claro (por exemplo, cookies HTTP ou outros fluxos móveis enviando identificadores exclusivos como IMEI ou AAID sem criptografia). O primeiro cenário pode ser executado, por exemplo, pelo ISP ou pela MNO. O segundo pode ser realizado por qualquer adversário no caminho da rede, como o provedor de rede ou até mesmo o provedor de nuvem que hospeda mais de um serviço acessado pela vítima. Quanto maior a distância do adversário em relação à vítima (cliente) ou ao ponto final (servidor), menor será a probabilidade de ele ter acesso às informações de reidentificação. A vulnerabilidade foi mitigada com a injeção de tráfego fictício da aplicação para o backend. O tráfego fictício é gerado por todos os usuários, independentemente de serem positivos ou não para COVID-19. O problema foi corrigido no iOS nas versões 1.0.8 (distribuição uniforme), 1.1.0 (distribuição exponencial); no Android nas versões 1.0.7 (distribuição uniforme), 1.1.0 (distribuição exponencial); e no Backend na versão 1.1.2-RELEASE. Para mais informações, consulte o GitHub Security Advisory referenciado.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.