Kritikus Bluetooth-sérülékenységre derült fény

Évekig rejtőzött felfedezetlenül egy súlyos Bluetooth-sérülékenység macOS, iOS, Android, Windows és Linux rendszerekben egyaránt. A CVE-2023-45866, illetve CVE-2024-21306 néven nyomon követett hiba a Bluetooth-protokollban található, és lehetőséget ad rá, hogy támadók "keystroke injection" támadás révén irányítást szerezzenek a céleszköz felett olyan módon, hogy a fogadó mobil, laptop vagy más eszköz szabványos USB billentyűzetként érzékeljen egy szimulált, a támadó által vezérelt billentyűzetet. Sikeres csatlakozás esetén a támadó billentyűzetleütéseket tud küldeni a célpontnak, és végponttól függően különböző műveleteket hajthat végre a távolból, egy linuxos számítógép esetén például Python scripttel - mindezt felhasználói jóváhagyás nélkül.

Androidot vagy iOS-t futtató mobileszközökön szinte bármilyen művelet végrehajtható, ami nem igényel jelszót vagy biometrikus hitelesítést, lefedve többek közt az alkalmazások telepítését, e-mailek és más szöveges üzenetek továbbítását. Linuxon és macOS-en a támadó elindíthat egy parancssort, és tetszőleges parancsokat futtathat, valamint alkalmazásokat telepíthet.

A több mint 10 éve jelenlévő hibát valószínűleg egyszerűsége miatt nem fedezték fel Marc Newlin, a SkySafe mérnöke szerint, aki a vezeték nélküli Apple Magic Keyboard billentyűzet lehetséges injekciós sebezhetőségeit kereste. Korábban már rengeteg vizsgálat foglalkozott a Bluetooth titkosítási sémáinak gyengeségeivel, de eddig kevésbé feltérképezett területnek számított az egyszerű hitelesítési-megkerülési hibák felkutatása. A Bluetooth platformok közt átívelő, többeszközös jellege összetettnek bizonyul biztonsági szempontból, és egyben számtalan problémát okoz, amelyekkel a javítások nehezen tudnak lépést tartani.

Ünnepi mix a bértranszparenciától a kódoló vezetőkig Négy IT karrierrel kapcsolatos, érdekes témát csomagoltunk a karácsonyfa alá.

A vizsgálat során az Android a 2012-ben kiadott 4.2.2-es verzióig visszamenőleg tűnt sebezhetőnek, és ugyan bár 2020-ban a Linuxban sikerült javítani, de a javítás alapértelmezetten le volt tiltva. A hibát kihasználó támadásoknak való kitettség mértéke nagyban függ a használt eszközök beállításaitól is: az androidos eszközök csak akkor sebezhetők, ha a Bluetooth be van kapcsolva, az iOS-es és macOS-es eszközök esetén szükség van a Magic Keyboardra is.

Newlin a hibát augusztusban jelentette az Apple, a Google és a Canonical felé, szeptemberben pedig a Bluetooth SIG szabványügyi szervezetet kereste meg. A legtöbb érintett eszközhöz már elérhetők a szükséges javítások, de bizonyos modellek továbbra is sebezhetők egyes operációs rendszer verziókkal, a szakember vizsgálata alapján az következők: Pixel 7 (Android 14), Pixel 6 (Android 13), Pixel 4a (Android 13), Pixel 2 (Android 11), Pixel 2 (Android 10), Nexus 5 (Android 6.0.1) és az Android 4.2.2-t futtató BLU DASH 3.5.

Az Android 4.2.2-től kezdve az Android 10-es verzióig jelenleg nem érhető el javítás. Egy, a héten kiadott biztonsági frissítés az Android 11-14-es verzióinak sebezhetőségét hivatott orvosolni, de még nem minden OEM tette telepíthetővé. Newlin tesztelte továbbá az Ubuntu Linux 18.04, 20.04, 22.04, 23.10 verzióit, amelyek mind kiszolgáltatottnak bizonyultak.

A 2022-es MacBook Pro MacOS 13.3.3-mal, a 2017-es MacBook Air MacOS 12.6.7-tel és az iOS 16.6-ot futtató iPhone SE szintén sebezhetők. Az Apple egyelőre nem közölte, mikor tervezi kiadni a szükséges javításokat.