該藍(lán)牙安全漏洞可用于劫持Apple和Linux設(shè)備
專家們發(fā)現(xiàn)了一種方法，可以欺騙支持藍(lán)牙的設(shè)備，使其認(rèn)為它已連接到無線鍵盤，而實際上它正在連接到另一臺計算機(jī)。
網(wǎng)絡(luò)安全研究人員馬克·紐林(MarcNewlin)發(fā)現(xiàn)了該漏洞，并于去年夏天向藍(lán)牙軟件供應(yīng)商披露了該漏洞，他表示，這反過來將允許操作員在設(shè)備上運行命令，包括運行惡意軟件。
該缺陷被追蹤為CVE-2023-45866，并被描述為身份驗證繞過。據(jù)稱，Android、Linux、cOS和iOS設(shè)備都容易受到影響。
紐林說：“多個藍(lán)牙堆棧存在身份驗證繞過漏洞，允許攻擊者在未經(jīng)用戶確認(rèn)的情況下連接到可發(fā)現(xiàn)的主機(jī)并注入擊鍵。”
如果攻擊者在物理上距離受害者端點足夠近，他可以欺騙受害者認(rèn)為它與新的藍(lán)牙鍵盤配對，然后使用這個新的“鍵盤”來運行應(yīng)用程序、任意命令等。它所需要的只是一臺帶有常規(guī)藍(lán)牙適配器的Linux計算機(jī)。
谷歌最近發(fā)布了一份新的安全公告，以提請Android用戶注意該漏洞，并表示CVE-2023-45866可能會導(dǎo)致遠(yuǎn)程權(quán)限升級，“無需額外的執(zhí)行權(quán)限”。
藍(lán)牙最近受到了很多負(fù)面報道。就在上周，Eurecom的研究人員發(fā)現(xiàn)了兩個統(tǒng)稱為BLUFFS的缺陷，這些缺陷允許攻擊者發(fā)起設(shè)備模擬或中間人攻擊。BLUFFS被跟蹤為CVE-2023-24023，并影響4.2版及以上版本的藍(lán)牙核心規(guī)范。研究人員表示，它們“從根本上”影響藍(lán)牙。
藍(lán)牙已經(jīng)存在多年，被認(rèn)為是一種安全、完善的無線通信標(biāo)準(zhǔn)。因此，此類漏洞可能會被濫用來危害全球數(shù)十億臺設(shè)備，包括筆記本電腦、智能手機(jī)、不同的聯(lián)網(wǎng)傳感器等。
有關(guān)CVE-2023-45866的技術(shù)詳細(xì)信息將于稍后發(fā)布。
標(biāo)簽：