Marc Newlin, die zeven jaar geleden de MouseJack-kwetsbaarheid ontdekte, heeft informatie onthuld over een soortgelijke kwetsbaarheid (CVE-2023-45866) die invloed heeft op Bluetooth-stacks van Android, Linux, macOS en iOS. Deze kwetsbaarheid stelt aanvallers in staat om toetsaanslagen te vervangen door het simuleren van activiteit van een invoerapparaat dat via Bluetooth is aangesloten. Met toegang tot de toetsenbordinvoer kan een aanvaller acties uitvoeren zoals het uitvoeren van opdrachten in het systeem, het installeren van applicaties en het omleiden van berichten.
De kwetsbaarheid wordt veroorzaakt doordat de host HID (Human Interface Device) stuurprogramma's voor Bluetooth-apparaten een modus hebben die een extern perifere apparaat in staat stelt om versleutelde verbindingen te creƫren en in te stellen zonder authenticatie. Onder andere kunnen apparaten die op deze manier zijn verbonden toetsenbordberichten verzenden en de HID-stack zal deze verwerken, wat de mogelijkheid biedt voor een aanval door middel van afstandsbediening van HID-berichten, zonder tussenkomst van de gebruiker. De aanval kan worden uitgevoerd vanaf een afstand van maximaal 100 meter van het slachtoffer.
De pairing-methode van apparaten zonder authenticatie is gedefinieerd in de Bluetooth-specificatie en afhankelijk van de instelling van de Bluetooth-stack kan een apparaat worden verbonden zonder bevestiging van de gebruiker. In Linux, bij gebruik van de BlueZ Bluetooth-stack, moet de Bluetooth-adapter zich in een ontdekkings- en koppelingsmodus bevinden. In Android is het eenvoudigweg voldoende om Bluetooth-ondersteuning in te schakelen. In iOS en macOS moet Bluetooth zijn ingeschakeld en moet een draadloos toetsenbord zijn verbonden om de aanval uit te voeren.
De mogelijkheid om invoer te substitueren is gedemonstreerd in Ubuntu 18.04, 20.04, 22.04 en 23.10 met de Bluetooth-stack op basis van het Bluez-pakket. ChromeOS is niet kwetsbaar omdat de instellingen van de Bluetooth-stack geen verbindingen zonder authenticatie toestaan. In Android is de kwetsbaarheid van toepassing op apparaten met platformversies van 4.2.2 tot 14. In macOS is de kwetsbaarheid gedemonstreerd op de MacBook Pro 2022 met een Apple M2 CPU en macOS 13.3.3, en de MacBook Air 2017 met een Intel CPU en macOS 12.6.7. In iOS is de kwetsbaarheid gedemonstreerd op de iPhone SE met iOS 16.6. Het inschakelen van de Lockdown-modus biedt geen bescherming tegen de aanval op macOS en iOS.
In Linux is de kwetsbaarheid verholpen in de codebase van Bluez door de instelling āClassicBondedOnlyā op ātrueā te zetten, waarmee de veilige modus wordt ingeschakeld die alleen verbindingen toestaat na koppeling. Eerder was de waarde āfalseā ingesteld, wat ten koste van de veiligheid compatibiliteitsproblemen met bepaalde invoerapparaten oploste.
In de Bluetooth-stack Fluoride, gebruikt in de nieuwste versies van Android, is de kwetsbaarheid verholpen door verplichte authenticatie voor alle versleutelde verbindingen in te voeren. Correcties voor Android zijn alleen opgesteld voor de takken 11-14. Voor Pixel-apparaten is de kwetsbaarheid verholpen in de firmware-update van december. Voor Android-versies van 4.2.2 tot 10 blijft de kwetsbaarheid onverholpen.
Bron: opennet.ru
