ドローン技術会社 SkySafe のソフトウェア エンジニアによると、数年前から存在する Bluetooth 認証バイパスの脆弱性により、悪意のある攻撃者が Apple、Android、Linux デバイスに接続し、キーストロークを挿入して任意のコマンドを実行することができます。この脆弱性を発見し、Apple、Google、Canonical、および Bluetooth SIG に報告した Marc Newlin 氏は、CVE-2023-45866 として追跡されるこの脆弱性が悪用されるために特別なハードウェアを必要とせず、通常の Bluetooth アダプタを使用して Linux マシン上で攻撃を完了できると述べました。
ニューリン氏は、今後開催されるカンファレンスで脆弱性の詳細と概念実証コードを提供する予定だが、すべての脆弱性が修正されるまでは提供を控えたいと述べた。この攻撃により、近くの侵入者がパスワードや生体認証の検証を必要としない限り、被害者のデバイス上でキーストロークを挿入し、悪意のあるアクションを実行することが可能になります。
水曜日に公開された GitHub 投稿の中で、バグハンターはセキュリティ上の欠陥を次のように説明しました。
https://github.com/skysafe/reblog/tree/main/cve-2023-45866
「この脆弱性は、ユーザーの確認なしに Bluetooth ホスト ステート マシンをだまして偽のキーボードとペアリングさせることで機能します。基礎となる未検証のペアリング メカニズムは Bluetooth 仕様で定義されており、実装された脆弱性によりこのメカニズムが攻撃者にさらされる可能性があります。」
Newlin 氏は、2016 年に同様の Bluetooth の脆弱性を発見しました。「MouseJack」と呼ばれるこの脆弱性は、17 社の異なるベンダーのワイヤレス マウスとキーボードのキーストローク インジェクションの脆弱性を悪用します。
ただし、CVE-2023-45866 は MouseJack よりも前のものです。 Newlin氏は、2012年にリリースされたAndroid 4.2.2システムを実行するBLUDASH 3.5をテストしたところ、この脆弱性があることが判明したと述べた。実際、Android 4.2.2-10 には修正はありません。
GoogleはNewlinに対し、「Android 11から14に影響するこれらの問題の修正は、影響を受けるOEMに提供されている。現在サポートされているすべてのPixelデバイスは、12月のOTAアップデートを通じて修正を受け取ることになる」との声明を発表した。
以下は Android セキュリティ アドバイザリで公開されている詳細であり、この脆弱性は非常に重大であると評価されています。
https://source.android.com/docs/security/bulletin/2023-12-01
この問題は2020年にLinuxで修正されたが、この修正が有効になっているLinuxベースのオペレーティングシステムはChromeOSだけだとニューリン氏は述べた。 Ubuntu、Debian、Fedora、Gentoo、Arch、Alpine などの他の Linux ディストリビューションでは、デフォルトで無効になっています。 Ubuntu18.04、20.04、22.04、23.10には依然として脆弱性が存在すると報告されています。
この脆弱性は、Bluetooth が有効になっており、MagicKeyboard が脆弱な携帯電話またはコンピュータとペアリングされている場合、macOS および iOS にも影響します。重要なのは、この脆弱性は Apple のロックダウン モードでも機能し、Apple はこれによりデバイスを高度な攻撃から保護できると主張しています。
Newlin氏は8月にAppleに問題を明らかにした。 Apple は彼の報告を確認しましたが、この脆弱性に対するパッチのスケジュールはまだ共有していません。