Marc Newlin, kes seitse aastat tagasi avastas MouseJack haavatavuse, avaldas teavet sarnase haavatavuse (CVE-2023-45866) kohta, mis mõjutab Androidi, Linuxi, macOSi ja iOSi Bluetoothi steke ning võimaldab klahvivajutuste simuleerimist, kasutades Bluetoothi kaudu ühendatud sisendseadmest saadud tegevust. Rünnaku korral, omades juurdepääsu klaviatuuriväljundile, saab ründaja sooritada selliseid toiminguid nagu käsu käivitamine, rakenduste installimine ja sõnumite suunamine.
Haavatavus tuleneb sellest, et hosti HID (Human Interface Device) draiverid Bluetooth-seadmete jaoks omavad režiimi, mis võimaldab kaugseadmel luua ja kehtestada krüpteeritud ühendusi ilma autentimiseta. Muuhulgas võivad sel viisil ühendatud seadmed edastada klaviatuuri teadet ja HID virn töötleb seda, võimaldades korraldada kaug-ehitatud HID-teadete rünnakut, mis toimub ilma kasutaja sekkumiseta. Rünnakut võib läbi viia, kui ründaja asub kuni 100 meetri kaugusel ohvrist.
Seadmete paaritamise mehhanism ilma autentimiseta on määratletud Bluetoothi spetsifikatsioonis ja sõltuvalt Bluetoothi steki seadistustest võib seadme ühendada ilma kasutajalt kinnitust küsimata. Linuxis, kasutades BlueZ Bluetoothi steki, peab Bluetoothi adapter olema avastamise ja ühendamise režiimis. Androidis piisab lihtsalt Bluetoothi toe sisselülitamisest. iOS-is ja macOS-is peab rünnaku teostamiseks olema Bluetooth sisse lülitatud ja juhtmevaba klaviatuur ühendatud.
Sisendi simuleerimise võimalus on demonstreeritud Ubuntu versioonides 18.04, 20.04, 22.04 ja 23.10, kasutades Bluez paketil põhinevat Bluetoothi steki. ChromeOS ei ole haavatav, kuna selle Bluetoothi steki seaded ei luba autentimiseta ühendust. Androidis mõjutab haavatavus seadmeid, mille platvormi versioonid ulatuvad 4.2.2 kuni 14. macOS-is on haavatavus demonstreeritud 2022. aasta MacBook Pro-s, millel on Apple M2 CPU ja macOS 13.3.3, ning 2017. aasta MacBook Airis Intel CPU-ga ja macOS 12.6.7. iOS-is on haavatavus demonstreeritud iPhone SE-s, milles on iOS 16.6. Lockdown režiimi sisselülitamine ei kaitse rünnaku eest macOS-is ja iOS-is.
Linuxis on Bluez'i koodibaasis haavatavus kõrvaldatud, kui seade "ClassicBondedOnly" on seadistatud väärtusele "true", mis aktiveerib turvarežiimi, lubades ühenduste loomise ainult pärast paarimist. Varasemalt oli see seadistatud väärtusele "false", mis vähendas turvalisust, et lahendada ühilduvuse probleeme teatud sisendseadmetega.
Viimastes Androidi väljaannetes kasutatavas Bluetoothi-kihis Fluoride on haavatavus kõrvaldatud kõigi krüpteeritud ühenduste autentimise kohustusliku rakendamise kaudu. Androidi parandused on koostatud ainult harudele 11-14. Pixel-seadmetele on haavatavus kõrvaldatud detsembri tarkvarauuenduses. Androidi väljaannetes alates 4.2.2 kuni 10 jääb haavatavus parandamata.
Allikas: opennet.ru
