Marc Newlin, der vor sieben Jahren die MouseJack-Sicherheitsanfälligkeit entdeckte, hat Informationen über eine ähnliche Sicherheitsanfälligkeit (CVE-2023-45866) veröffentlicht, die Bluetooth-Stacks von Android, Linux, macOS und iOS betrifft. Diese Schwachstelle ermöglicht es Angreifern, Tasteneingaben durch die Simulation von Aktivitäten eines über Bluetooth verbundenen Eingabegeräts einzufügen. Mit Zugang zur Tastatureingabe kann ein Angreifer Aktionen ausführen wie das Starten von Befehlen im System, das Installieren von Anwendungen und das Umleiten von Nachrichten.
Die Sicherheitsanfälligkeit entsteht, weil die Host-HID (Human Interface Device) Treiber für Bluetooth-Geräte einen Modus haben, der es einem entfernten Peripheriegerät erlaubt, verschlüsselte Verbindungen ohne Authentifizierung zu erstellen und herzustellen. Unter anderem können sich so verbundene Geräte Tastaturmeldungen übermitteln, die vom HID-Stack verarbeitet werden. Dies ermöglicht eine nachrichtentechnische Angriffsführung, die ohne Benutzerinteraktion erfolgt. Der Angriff kann durchgeführt werden, während der Angreifer bis zu 100 Meter von dem Opfer entfernt ist.
Der Mechanismus zur Verbindung von Geräten ohne Authentifizierung ist in der Bluetooth-Spezifikation definiert und ermöglicht je nach Einstellungen des Bluetooth-Stacks die Verbindung eines Geräts ohne Bestätigung des Benutzers. Unter Linux, bei Verwendung des Bluetooth-Stacks BlueZ, muss der Bluetooth-Adapter im Entdeckungs- und Verbindungsmodus sein. Auf Android genügt es, die Bluetooth-Unterstützung einfach zu aktivieren. In iOS und macOS muss Bluetooth aktiviert und eine drahtlose Tastatur verbunden sein, um einen Angriff durchzuführen.
Die Möglichkeit zur Eingabeverfälschung wurde in Ubuntu 18.04, 20.04, 22.04 und 23.10 mit dem auf dem Bluez-Paket basierenden Bluetooth-Stack demonstriert. ChromeOS ist nicht anfällig für diese Schwachstelle, da die Einstellungen des Bluetooth-Stacks keine Verbindung ohne Authentifizierung zulassen. In Android betrifft die Schwachstelle Geräte mit Plattformversionen von 4.2.2 bis 14. In macOS wurde die Schwachstelle im MacBook Pro 2022 mit Apple M2-CPU und macOS 13.3.3 sowie im MacBook Air 2017 mit Intel-CPU und macOS 12.6.7 demonstriert. In iOS wurde die Schwachstelle im iPhone SE mit iOS 16.6 demonstriert. Das Aktivieren des Lockdown-Modus schützt nicht vor Angriffen in macOS und iOS.
In Linux wurde die Sicherheitsanfälligkeit im Bluez-Code durch das Setzen der Einstellung „ClassicBondedOnly“ auf „true“ behoben, was den sicheren Modus aktiviert, der Verbindungen nur nach der Kopplung zulässt. Zuvor war der Wert auf „false“ gesetzt, was Komplikationen mit einigen Eingabegeräten durch ein geringeres Sicherheitsniveau behob.
Im Bluetooth-Stack Fluoride, der in den neuesten Android-Versionen verwendet wird, wurde die Sicherheitsanfälligkeit durch die verpflichtende Anwendung der Authentifizierung für alle verschlüsselten Verbindungen behoben. Die Korrekturen für Android wurden nur für die Versionen 11–14 bereitgestellt. Für Pixel-Geräte wurde die Sicherheitsanfälligkeit mit dem Firmware-Update im Dezember behoben. Für Android-Versionen von 4.2.2 bis 10 bleibt die Sicherheitsanfälligkeit jedoch ungelöst.
Quelle: opennet.ru
