Plataforma
android
Componente
app-authenticator
Corrigido em
4.16.1
A vulnerabilidade CVE-2026-33875 afeta o Gematik Authenticator, um aplicativo para autenticação segura. Essa falha permite o sequestro do fluxo de autenticação, possibilitando que invasores se passem por usuários legítimos. As versões afetadas são as anteriores ou iguais a 4.16.0. A correção está disponível na versão 4.16.0 ou superior, que corrige a falha de segurança.
Uma vulnerabilidade crítica (CVE-2026-33875) foi identificada no aplicativo Gematik Authenticator, utilizado para autenticação segura em aplicativos de saúde digital. Versões anteriores à 4.16.0 são suscetíveis a um ataque de sequestro do fluxo de autenticação. Isso significa que um atacante pode enganar um usuário para clicar em um link profundo malicioso, permitindo que ele se autentique como se fosse o usuário legítimo. O risco é alto, pois um atacante pode acessar informações de saúde confidenciais ou realizar ações em nome do usuário sem o seu consentimento. A pontuação CVSS é de 9.3, indicando um risco severo. Esta vulnerabilidade afeta diretamente a segurança e a privacidade dos dados de saúde dos usuários.
Um atacante pode distribuir um link profundo malicioso por meio de vários canais, como mensagens de texto, e-mail ou redes sociais. Quando um usuário legítimo clica neste link, o aplicativo Authenticator pode ser enganado para se autenticar com o atacante em vez do serviço de saúde pretendido. O ataque se baseia na manipulação do fluxo de autenticação, aproveitando a falta de validação adequada de links profundos em versões anteriores à 4.16.0. A facilidade de execução deste ataque, combinada com seu potencial impacto, o torna uma ameaça significativa à segurança dos dados de saúde.
Users of Gematik Authenticator who rely on it for secure access to digital health applications are at risk. This includes patients, healthcare providers, and administrative staff. Individuals who frequently click on links from unknown or untrusted sources are particularly vulnerable.
• android / supply-chain:
Get-InstalledPackage -Name "Gematik Authenticator"• android / supply-chain:
adb shell dumpsys package com.gematik.authenticator | grep versionName• android / supply-chain: Check app permissions for suspicious deep link handling capabilities.
disclosure
Status do Exploit
EPSS
0.06% (percentil 18%)
CISA SSVC
Vetor CVSS
A solução recomendada é atualizar imediatamente o aplicativo Gematik Authenticator para a versão 4.16.0 ou superior. Esta atualização inclui uma correção para mitigar a vulnerabilidade de sequestro do fluxo de autenticação. Não existem soluções alternativas conhecidas para esta vulnerabilidade. Recomenda-se a todos os usuários do aplicativo que realizem a atualização o mais rápido possível para proteger seus dados e contas. Verifique se o aplicativo é atualizado corretamente após a instalação. Se tiver alguma dúvida sobre o processo de atualização, consulte a documentação oficial da Gematik ou entre em contato com seu provedor de serviços de saúde digital.
Atualize o aplicativo Gematik Authenticator para a versão 4.16.0 ou superior para corrigir a vulnerabilidade de sequestro do fluxo de autenticação. Esta atualização soluciona o problema que permite que invasores se autentiquem com as identidades de usuários vítimas que clicam em links maliciosos. Não existem soluções alternativas conhecidas.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
Um link profundo é um link que direciona para uma localização específica dentro de um aplicativo, em vez de uma página da web. Neste caso, um link profundo malicioso pode enganar o aplicativo Authenticator.
Verifique a versão do seu aplicativo Gematik Authenticator nas configurações do aplicativo. Se for anterior à 4.16.0, é vulnerável.
Altere imediatamente sua senha em todos os aplicativos de saúde digital que você usa e notifique seu provedor de serviços de saúde digital.
Sim, a atualização para a versão 4.16.0 ou superior corrige a vulnerabilidade. Não é necessário desinstalar e reinstalar o aplicativo.
Consulte a documentação oficial da Gematik ou entre em contato com seu provedor de serviços de saúde digital para obter mais informações.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo build.gradle e descubra na hora se você está afetado.