Ένα κενό ασφαλείας στο Bluetooth επιτρέπει στους χάκερ να ελέγχουν συσκευές Android και iOS.

[διαφήμιση_1]

Σύμφωνα με το The Hacker News , ο ερευνητής ασφαλείας Marc Newlin ανέφερε την ευπάθεια στους προμηθευτές λογισμικού τον Αύγουστο του 2023. Δήλωσε ότι η τεχνολογία Bluetooth έχει μια ευπάθεια που παρακάμπτει τον έλεγχο ταυτότητας, επιτρέποντας στους εισβολείς να συνδέονται με συσκευές στην περιοχή χωρίς επιβεβαίωση ή αλληλεπίδραση του χρήστη.

Σε αυτήν την ευπάθεια έχει εκχωρηθεί ο κωδικός παρακολούθησης CVE-2023-45866, ο οποίος περιγράφει ένα σενάριο παράκαμψης ελέγχου ταυτότητας που επιτρέπει σε έναν απειλητικό παράγοντα να συνδεθεί με συσκευές και να εκτελέσει κώδικα πατώντας πλήκτρα εκ μέρους του θύματος. Η επίθεση ξεγελάει τη συσκευή-στόχο κάνοντάς την να νομίζει ότι είναι συνδεδεμένη με ένα πληκτρολόγιο Bluetooth, εκμεταλλευόμενη έναν μη εξουσιοδοτημένο μηχανισμό σύζευξης που ορίζεται στην προδιαγραφή Bluetooth.

Lỗ hổng Bluetooth giúp hacker kiểm soát thiết bị Android và iOS - Ảnh 1. — Το πρότυπο σύνδεσης Bluetooth αντιμετωπίζει πολλά τρωτά σημεία ασφαλείας.

Η επιτυχής εκμετάλλευση της ευπάθειας θα μπορούσε να επιτρέψει σε χάκερ εντός της εμβέλειας σύνδεσης Bluetooth να μεταδίδουν πληκτρολογήσεις για την εγκατάσταση εφαρμογών και την εκτέλεση αυθαίρετων εντολών. Αξίζει να σημειωθεί ότι η επίθεση δεν απαιτεί εξειδικευμένο υλικό και μπορεί να πραγματοποιηθεί από υπολογιστή Linux χρησιμοποιώντας έναν τυπικό προσαρμογέα Bluetooth. Οι τεχνικές λεπτομέρειες της ευπάθειας αναμένεται να δημοσιευτούν στο μέλλον.

Αυτή η ευπάθεια Bluetooth επηρεάζει ένα ευρύ φάσμα συσκευών με Android έκδοση 4.2.2 και νεότερες, καθώς και iOS, Linux και macOS. Το ελάττωμα επηρεάζει το macOS και το iOS όταν είναι ενεργοποιημένο το Bluetooth και το Apple Magic Keyboard είναι συζευγμένο με την ευάλωτη συσκευή. Λειτουργεί επίσης σε λειτουργία κλειδώματος, μια λειτουργία που έχει σχεδιαστεί για να προστατεύει από τις ψηφιακές απειλές της Apple. Η Google δηλώνει ότι η ευπάθεια CVE-2023-45866 μπορεί να οδηγήσει σε κλιμάκωση δικαιωμάτων near-field σε μια συσκευή χωρίς να απαιτούνται πρόσθετα δικαιώματα εκτέλεσης.

[διαφήμιση_2]
Σύνδεσμος πηγής