Injection de frappes Bluetooth sur Android, Linux, macOS et iOS

Vulnérabilité de contournement de l’authentification Bluetooth

• Plusieurs piles Bluetooth présentent une vulnérabilité de contournement de l’authentification permettant de se connecter sans confirmation de l’utilisateur et d’injecter des frappes clavier.
• Un attaquant peut se connecter à un appareil vulnérable via un Bluetooth non authentifié et injecter des frappes pour installer des applications, exécuter des commandes arbitraires ou envoyer des messages.
• L’attaque ne nécessite aucun matériel particulier et peut être menée depuis un ordinateur Linux utilisant un adaptateur Bluetooth standard. Les détails complets de la vulnérabilité et les scripts de preuve de concept seront publiés ultérieurement lors d’une conférence.

Android

• Vulnérabilité constatée sur les appareils Android suivants : Pixel 7 (Android 14), Pixel 6 (Android 13), Pixel 4a (5G) (Android 13), Pixel 2 (Android 11), Pixel 2 (Android 10), Nexus 5 (Android 6.0.1), BLU DASH 3.5 (Android 4.2.2).
• Atténuation de la vulnérabilité sur Android 11 à 14 via le correctif de sécurité du 2023-12-05 ; aucun correctif disponible pour Android 4.2.2 à 10.
• Calendrier de divulgation : signalé à Google le 2023-08-05, rendu public le 2023-12-06.

Linux/BlueZ

• Vulnérabilité constatée sur les versions Ubuntu suivantes : Ubuntu 18.04, 20.04, 22.04, 23.10.
• Selon Google, ChromeOS n’est pas vulnérable. ChromeOS n’a pas été testé, mais la configuration de BlueZ semble atténuer la vulnérabilité.
• Atténuation de la vulnérabilité dans BlueZ via le correctif suivant : https://git.kernel.org/pub/scm/…
• Calendrier de divulgation : signalé à Canonical le 2023-08-10, signalé au Bluetooth SIG le 2023-09-25, dossier ouvert auprès du CERT/CC le 2023-10-02, rendu public le 2023-12-06.

macOS

• Vulnérabilité constatée sur les appareils suivants : MacBook Pro 2022 (macOS 13.3.3, M2), MacBook Air 2017 (macOS 12.6.7, Intel).
• Le Lockdown Mode n’empêche pas l’attaque.
• Calendrier de divulgation : signalé à Apple le 2023-08-01, rendu public le 2023-12-06.

iOS

• Vulnérabilité constatée sur l’appareil suivant : iPhone SE (iOS 16.6).
• Le Lockdown Mode n’empêche pas l’attaque.
• Calendrier de divulgation : signalé à Apple le 2023-08-04, rendu public le 2023-12-06.

Déclaration du fabricant

• Google : un correctif pour le problème affectant Android 11 à 14 a été fourni aux OEM concernés. Tous les appareils Pixel actuellement pris en charge recevront ce correctif via la mise à jour OTA de décembre.

L’avis de GN⁺

• Cette recherche contient une découverte importante qui remet en cause les hypothèses courantes sur la sécurité des appareils Bluetooth. Alors que le Bluetooth était considéré comme sûr, elle montre qu’il existe en réalité des vulnérabilités telles que l’injection de frappes.
• Les vulnérabilités découvertes sur différentes plateformes (Android, Linux, macOS, iOS) rappellent aux utilisateurs les risques potentiels d’une technologie largement répandue et soulignent l’importance de la recherche en sécurité.
• Cet article constitue un exemple intéressant montrant aux développeurs logiciel et matériel pourquoi la sécurité doit être prise en compte dès les premières phases de conception, tout en encourageant la collaboration avec la communauté de la recherche en sécurité.

[GN⁺]

Avis Hacker News

• Mesures de sécurité recommandées pour les utilisateurs d’Android et de Linux

  • Il est recommandé aux utilisateurs d’Android de désactiver le Bluetooth lorsqu’ils ne l’utilisent pas et d’installer les dernières mises à jour de sécurité.
  • Il est recommandé aux utilisateurs de Linux d’activer le paramètre ClassicBondedOnly=true dans le fichier /etc/bluetooth/input.conf, puis de redémarrer le service Bluetooth.
  • Les informations concernant macOS et iOS restent incertaines.

• Manque d’informations sur la vulnérabilité Bluetooth sous Windows

  • Une explication est demandée sur les raisons pour lesquelles Windows semblerait ne pas être affecté par cette vulnérabilité.
  • Des informations sont nécessaires sur les caractéristiques structurelles de la pile Bluetooth de Windows ou sur ses paramètres de sécurité.
  • Étant donné la forte part de marché de Windows et l’intérêt probable de nombreux administrateurs système, il est important de fournir des informations à ce sujet.

• Réaction positive à la correction de la vulnérabilité touchant les connexions audio sans fil

  • À une époque où les connexions audio physiques disparaissent des smartphones au profit du sans-fil, il est important de corriger ce type de vulnérabilité.

• Correction de la vulnérabilité Bluetooth dans macOS et iOS

  • Il est signalé que cette vulnérabilité a été corrigée dans macOS 14.2 et iOS 17.2.

• Question sur le fonctionnement de la vulnérabilité Bluetooth

  • Une demande d’explication détaillée est formulée au sujet de cette vulnérabilité, qui trompe la machine à états de l’hôte Bluetooth pour appairer un faux clavier sans confirmation de l’utilisateur.

• Préoccupations de sécurité d’un utilisateur d’UBPorts Pinephone

  • Un utilisateur d’UBPorts Pinephone exprime son inquiétude, estimant que l’appareil est probablement plus vulnérable que les appareils iOS ou Android.

• Correction de la vulnérabilité Bluetooth dans Arch Linux

  • Il est indiqué que la vulnérabilité a été corrigée dans Arch Linux à partir de la version bluez 5.70-2.

• Idées reçues sur la sécurité du Bluetooth et vulnérabilités réelles

  • Un témoignage est partagé au sujet de l’idée erronée selon laquelle le Bluetooth serait sûr, alors qu’il existe en réalité des vulnérabilités d’injection de frappes.

• Témoignage sur la vulnérabilité des connexions USB

  • Quelqu’un raconte avoir constaté qu’un clavier fonctionnait lorsqu’il était branché sur un port « charge uniquement », et s’interroge sur la possibilité d’un usage malveillant réel.

• Informations sur les vulnérabilités liées à USB Rubber Ducky

  • Des informations sont partagées sur USB Rubber Ducky, qui se fait passer pour un clavier Bluetooth et envoie des frappes à une vitesse surhumaine.