Marc Newlin, kes avastas haavatavuse MouseJack seitsme aasta eest avaldas ta teavet sarnase haavatavuse kohta (CVE-2023-45866), mis mõjutab Androidi, Linuxi, macOS-i ja iOS-i Bluetooth-läbipaistmatust. See haavatavus võimaldab kasutada näiliselt seadmest sisestatud klahvivajutusi, simuleerides Bluetoothiga ühendatud sisendseadet. Saades juurdepääsu klaviatuuri sisendile, saab ründaja teha mitmesuguseid toiminguid, näiteks käivitada süsteemis käske, installida rakendusi ja suunata sõnumeid.
Haavatavus tuleneb sellest, et Bluetooth-seadmete HID (Human Interface Device) draiverid võimaldavad kaugperifeersete seadmete loomist ja krüpteeritud ühenduste seadistamist ilma autentimiseta. Sellised ühendatud seadmed saavad edastada klaviatuuri teateid, mida HID-i virn töötleb, mis avab võimaluse rünnakuks HID-sõnumite manipuleerimise teel, mida saab teostada ilma kasutaja sekkumiseta. Seda rünnakut saab teostada kuni 100 meetri kauguselt ohvrist.
Seadmete paarimise mehhanism ilma autentimiseta on määratletud Bluetoothi spetsifikatsioonis ja sõltuvalt Bluetoothi virna seadistustest võimaldab see seadme ühendamist kasutaja kinnitust saamata. Näiteks Linuxis, kui kasutatakse BlueZ-põhist Bluetoothi virna, peab Bluetooth-adapter olema peidetud paarimise ja ühendamise režiimis. Androidis piisab Bluetoothi toe lubamisest. iOS-is ja macOS-is peab edukaks rünnakuks olema Bluetooth sisse lülitatud ning traadita klaviatuur ühendatud.
Sisendi manipuleerimise võimalust on demonstreeritud Ubuntu 18.04, 20.04, 22.04 ja 23.10 BlueZ-põhise Bluetoothi virnaga. ChromeOS ei ole haavatav, kuna selle Bluetoothi virna seaded ei võimalda autentimiseta ühendusi. Androidis mõjutab see haavatavus seadmeid, mille platvormi versioonid on vahemikus 4.2.2 kuni 14. macOS-is on haavatavust demonstreeritud MacBook Pro 2022 Apple M2 protsessoriga ja macOS 13.3.3 ning MacBook Air 2017 Intel protsessoriga ja macOS 12.6.7. iOS-is on haavatavust demonstreeritud iPhone SE-ga ja iOS 16.6. Lockdown-režiimi aktiveerimine ei paku kaitset rünnaku eest macOS-is ja iOS-is.
Linuxis on haavatavus kõrvaldatud Bluezi koodibaasis seadistati „ClassicBondedOnly” väärtuseks „true”, mis aktiveerib turvarežiimi, lubades seadmete ühendusi ainult pärast paaritamist. Eelmise variandi väärtus oli „false”, mis alandas turvalisust, et tagada ühilduvus mõnede sisendseadmetega.
Bluetoothe Fluoride'i virnas, mida kasutatakse uusimates Androidi versioonides, haavatavus on kõrvaldatud nõudes kõigi krüpteeritud ühenduste jaoks autentimist. Androidile väljastati parandused ainult versioonide 11-14 jaoks. Pixel-seadmete jaoks kõrvaldas haavatavuse detsembri tarkvarauuendus. Androidi versioonides 4.2.2 kuni 10 jääb haavatavus lahendamata.
Allikas: linux.org.ru
