一款家用新冠檢測電子試劑盒存在漏洞 可讓用戶偽造結果

2021年3月，Cue的系統成為第一個獲得美國食品和藥物管理局緊急授權用于家庭和非處方藥的COVID-19分子測試套件。

雖然FDA當時對Cue Health的COVID-19測試的創新方法表示贊賞，但F-Secure公司的企業安全業務WithSecure的安全顧問Ken Gannon發現了測試套件的一個缺陷，可能會使測試結果被修改。這是第二次在連接的COVID-19測試中發現安全漏洞，該研究人員最近在Ellume的COVID-19家庭測試中暴露了類似的漏洞，使人們對在聯邦政府的緊急批準權下匆忙上市的測試套件完整性產生了懷疑。

該漏洞（現已修復）是在Cue Reader與Cue Health應用程序通過藍牙使用Protobuf協議進行通信的過程中發現的，該協議以易于閱讀的數據塊呈現測試數據。閱讀器生成的數據塊以"10 02"結尾，表示COVID-19測試結果為陽性，或以"10 03"結尾，表示陰性。Gannon開發了一個腳本，使他能夠通過操縱這些數字攔截和修改數據。通過改變結果中的一個數字，或"比特翻轉"，可以將陰性結果改為陽性結果，并獲得一份驗證結果有效的證書。

將陽性結果改為陰性結果的過程基本相同，這可能會造成問題。陰性的COVID-19測試已經成為許多活動的要求，包括進入美國旅行。就目前而言，翻轉這些位子所需的技能水平有點高，一個人需要有像樣的知識進入黑客移動應用程序，并在Cue的應用程序中運行自定義代碼。

然而Ken Gannon一直擔心Android應用的黑客定制攻擊能力，以便普通消費者可以做同樣的黑客攻擊。正因為如此，Ken Gannon特意披露了只有逆向工程師才能理解和使用的技術細節和定制代碼。Gannon與Cue Health分享了他的研究，Cue Health表示，除了WithSecure報告的結果外，它沒有發現任何偽造的測試結果，但表示它已經增加了旨在檢測操縱結果的服務器端檢查。當被問及公司是否有辦法在WithSecure的發現之前檢測出操縱結果時，Cue Health沒有回應。