Marc Newlin, die een kwetsbaarheid ontdekte MouseJack zeven jaar geleden, heeft informatie onthuld over een soortgelijke kwetsbaarheid (CVE-2023-45866), die betrekking heeft op Bluetooth-stacks van Android, Linux, macOS en iOS. Deze kwetsbaarheid maakt het mogelijk om toetsaanslagen te vervalsen door activiteit van een Bluetooth-ingang apparaat te simuleren. Wanneer toegang wordt verkregen tot de toetsaanslagen, kan de aanvaller verschillende acties uitvoeren, zoals het uitvoeren van opdrachten in het systeem, het installeren van applicaties en het omleiden van berichten.
De kwetsbaarheid wordt veroorzaakt doordat hostdrivers voor HID (Human Interface Device) voor Bluetooth-apparaten een modus hebben die het een extern apparaat mogelijk maakt om versleutelde verbindingen op te zetten zonder authenticatie. Aangesloten apparaten kunnen toetsaanslagen verzenden, en de HID-stack verwerkt deze, wat een kans biedt voor een aanval door vervalsing van HID-berichten zonder tussenkomst van de gebruiker. Deze aanval kan worden uitgevoerd op een afstand van maximaal 100 meter van het slachtoffer.
De mechanismen voor koppelen van apparaten zonder authenticatie zijn gedefinieerd in de Bluetooth-specificatie en stellen, afhankelijk van de instellingen van de Bluetooth-stack, apparaten in staat om verbinding te maken zonder bevestiging van de gebruiker. Bijvoorbeeld, in Linux, wanneer gebruik wordt gemaakt van de Bluetooth-stack BlueZ, moet de Bluetooth-adapter in de detectie- en verbindingsmodus staan voor verborgen koppeling. In Android is het voldoende om Bluetooth-ondersteuning in te schakelen. Op iOS en macOS moet Bluetooth zijn ingeschakeld en moet een draadloos toetsenbord zijn verbonden voor een succesvolle aanval.
De mogelijkheid om invoer te vervalsen is gedemonstreerd op Ubuntu 18.04, 20.04, 22.04 en 23.10 met een Bluetooth-stack gebaseerd op het BlueZ-pakket. ChromeOS is niet kwetsbaar, omdat de Bluetooth-instellingen geen verbindingen zonder authenticatie toestaan. In Android is de kwetsbaarheid van toepassing op apparaten met platformversies van 4.2.2 tot 14. In macOS is de kwetsbaarheid aangetoond op een MacBook Pro 2022 met een Apple M2-processor en macOS 13.3.3, evenals op een MacBook Air 2017 met een Intel-processor en macOS 12.6.7. In iOS is de kwetsbaarheid aangetoond op een iPhone SE met iOS 16.6. Het inschakelen van de Lockdown-modus biedt geen bescherming tegen de aanval op macOS en iOS.
In Linux is de kwetsbaarheid opgelost In de codebasis van Bluez door de instelling van de parameter «ClassicBondedOnly» op «true» in te stellen, wordt een veilige modus ingeschakeld, die het tot stand brengen van verbindingen alleen na koppeling toestaat. Eerder was de waarde ingesteld op «false», wat, ter compatibiliteit met sommige invoerapparaten, het beveiligingsniveau verlaagde.
In de Bluetooth-stack Fluoride, gebruikt in de laatste versies van Android, is de kwetsbaarheid verholpen door verplichting van authenticatie voor alle versleutelde verbindingen. De patch voor Android is alleen uitgebracht voor de takken 11-14. Voor Pixel-apparaten is de kwetsbaarheid verholpen in de decemberversion van de firmware. Voor Android-versies van 4.2.2 tot 10 blijft de kwetsbaarheid bestaan.
Bron: linux.org.ru
