CVE-2024-23674

Funcionalidade de identificação eletrônica (eID) do cartão de identidade nacional alemão até 15/02/2024

A vulnerabilidade permite que a autenticação seja contornada por meio de falsificação, possibilitando que um invasor do tipo “man-in-the-middle” assuma a identidade da vítima e acesse recursos governamentais, médicos e financeiros. O invasor também pode extrair dados pessoais do cartão. Isso ocorre devido a uma combinação de fatores, incluindo a inserção insegura do PIN e o deeplinking eid://. A vítima deve estar usando um kernel eID modificado, o que pode acontecer se ela for induzida a instalar uma versão falsa de um aplicativo oficial.

Para o esquema eID da Online-Ausweis-Funktion no cartão de identidade nacional alemão até 15/02/2024, considere desativar o uso de entrada insegura de PIN para leitores básicos e evite usar o deeplinking eid:// até que uma versão segura esteja disponível. Além disso, os usuários devem ter cuidado ao instalar aplicativos e garantir que eles sejam de fontes oficiais para evitar a instalação de um kernel eID modificado. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.