CVE-2020-12270

Bluezone versão 1.0.0

O problema está relacionado ao uso de valores aleatórios insuficientes no componente React Native Bluetooth Scan do aplicativo Bluezone. Isso poderia permitir que um invasor remoto interferisse no rastreamento de contatos da COVID-19 usando vários IDs. O fornecedor contesta a relevância deste relatório, afirmando que o destinatário de um alerta saberá que se trata de um falso alerta caso a comparação do histórico de contatos falhe.

Para a versão 1.0.0 do Bluezone, considere restringir o uso do componente React Native Bluetooth Scan até que uma correção esteja disponível. Como solução alternativa temporária, evite usar os IDs alfanuméricos de seis caracteres no componente afetado para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.