Bluetooth-kwetsbaarheid laat hackers Android- en iOS-apparaten besturen

Volgens The Hacker News meldde beveiligingsonderzoeker Marc Newlin de kwetsbaarheid in augustus 2023 aan softwareleveranciers. Hij zei dat Bluetooth-technologie een kwetsbaarheid heeft waardoor authenticatie kan worden omzeild, waardoor aanvallers verbinding kunnen maken met apparaten in de buurt zonder dat de gebruiker dit hoeft te bevestigen en handelingen kunnen uitvoeren.

De bug, bekend als CVE-2023-45866, beschrijft een authenticatie-omzeiling waarmee een kwaadwillende actor verbinding kan maken met apparaten en toetsaanslagen kan uitvoeren om code uit te voeren als slachtoffer. De aanval misleidt het doelapparaat door het te laten denken dat het verbonden is met een Bluetooth-toetsenbord door gebruik te maken van het niet-geverifieerde koppelingsmechanisme dat is gedefinieerd in de Bluetooth-specificatie.

Bluetooth-connectiviteitsstandaard kampt met veel beveiligingslekken

Succesvolle uitbuiting van de kwetsbaarheid zou een aanvaller binnen het bereik van een Bluetooth-verbinding in staat kunnen stellen toetsaanslagen te verzenden om applicaties te installeren en willekeurige opdrachten uit te voeren. De aanval vereist geen speciale hardware en kan worden uitgevoerd vanaf een Linux-computer met een standaard Bluetooth-adapter. Technische details over de kwetsbaarheid worden naar verwachting in de toekomst vrijgegeven.

De Bluetooth-kwetsbaarheid treft een breed scala aan apparaten met Android sinds versie 4.2.2, iOS, Linux en macOS. De kwetsbaarheid treft macOS en iOS wanneer Bluetooth is ingeschakeld en een Apple Magic Keyboard is gekoppeld aan het kwetsbare apparaat. Het werkt ook in de LockDown-modus, Apple's beschermingsmodus tegen digitale bedreigingen. Google zegt dat de bug, CVE-2023-45866, kan leiden tot verhoogde rechten voor apparaten in de buurt zonder dat hiervoor extra uitvoeringsrechten nodig zijn.

Bronlink: https://thanhnien.vn/lo-hong-bluetooth-giup-hacker-kiem-soat-thiet-bi-android-va-ios-185231209171902548.htm