Marc Newlin, che sette anni fa ha scoperto la vulnerabilità MouseJack, ha rivelato informazioni su una vulnerabilità simile (CVE-2023-45866) che colpisce gli stack Bluetooth di Android, Linux, macOS e iOS, consentendo l'inserimento di pressioni di tasti tramite la simulazione dell'attività di un dispositivo di input connesso via Bluetooth. Avendo accesso all'input della tastiera, un attaccante può eseguire azioni come l'esecuzione di comandi di sistema, l'installazione di applicazioni e la deviazione di messaggi.
La vulnerabilità è causata dal fatto che i driver HID (Human Interface Device) host per dispositivi Bluetooth dispongono di una modalità che consente a un dispositivo periferico remoto di creare e stabilire connessioni crittografate senza autenticazione. Tra l'altro, i dispositivi connessi in questo modo possono trasmettere messaggi da tastiera e lo stack HID li gestirà, consentendo un attacco di sostituzione remota dei messaggi HID, effettuato senza il coinvolgimento dell'utente. L'attacco può avvenire con l'attaccante a una distanza di fino a 100 metri dalla vittima.
Il meccanismo di accoppiamento dei dispositivi senza autenticazione è definito nella specifica Bluetooth e, a seconda delle impostazioni dello stack Bluetooth, consente di connettere un dispositivo senza conferma da parte dell'utente. In Linux, utilizzando lo stack Bluetooth BlueZ per l'accoppiamento nascosto, l'adattatore Bluetooth deve essere in modalità di scoperta e connessione. In Android è sufficiente attivare il supporto Bluetooth. In iOS e macOS, per eseguire l'attacco, il Bluetooth deve essere attivato e una tastiera wireless deve essere collegata.
La possibilità di sostituzione dell'input è stata dimostrata su Ubuntu 18.04, 20.04, 22.04 e 23.10 con uno stack Bluetooth basato sul pacchetto Bluez. ChromeOS non è vulnerabile, poiché le impostazioni dello stack Bluetooth in esso non consentono connessioni senza autenticazione. In Android, la vulnerabilità colpisce i dispositivi con versioni della piattaforma dalla 4.2.2 alla 14. In macOS, è stata dimostrata su MacBook Pro 2022 con CPU Apple M2 e macOS 13.3.3, e su MacBook Air 2017 con CPU Intel e macOS 12.6.7. In iOS, è stata dimostrata su iPhone SE con iOS 16.6. L'attivazione della modalità Lockdown non protegge da attacchi su macOS e iOS.
In Linux, la vulnerabilità è stata risolta nel codice sorgente di Bluez modificando la configurazione 'ClassicBondedOnly' a 'true', attivando la modalità sicura che consente di stabilire connessioni solo dopo l'accoppiamento. In precedenza era impostata su 'false', il che ha comportato una riduzione della sicurezza per risolvere i problemi di compatibilità con alcuni dispositivi di input.
Nel stack Bluetooth Fluoride, utilizzato nelle ultime versioni di Android, la vulnerabilità è stata rimossa attraverso l'imposizione obbligatoria dell'autenticazione per tutte le connessioni crittografate. Le patch per Android sono state create solo per le versioni 11-14. Per i dispositivi Pixel, la vulnerabilità è stata risolta nell'aggiornamento del firmware di dicembre. Per le versioni di Android dalla 4.2.2 alla 10, la vulnerabilità rimane irrisolta.
Fonte: opennet.ru
