Bluetooth-kwetsbaarheid laat hackers Android- en iOS-apparaten besturen

Volgens The Hacker News meldde beveiligingsonderzoeker Marc Newlin de kwetsbaarheid in augustus 2023 aan softwareleveranciers. Hij zei dat Bluetooth-technologie een kwetsbaarheid heeft waardoor authenticatie kan worden omzeild, waardoor aanvallers verbinding kunnen maken met apparaten in de buurt zonder dat de gebruiker dit hoeft te bevestigen of te doen.

De bug, bekend als CVE-2023-45866, beschrijft een authenticatie-omzeiling waarmee een kwaadwillende actor verbinding kan maken met apparaten en code kan uitvoeren op toetsaanslagen als slachtoffer. De aanval misleidt het doelapparaat door het te laten denken dat het verbonden is met een Bluetooth-toetsenbord door gebruik te maken van het niet-geverifieerde koppelingsmechanisme dat is gedefinieerd in de Bluetooth-specificatie.

Bluetooth-connectiviteitsstandaard kampt met veel beveiligingslekken

Succesvolle uitbuiting van de kwetsbaarheid zou een aanvaller binnen het Bluetooth-bereik in staat kunnen stellen toetsaanslagen te verzenden om applicaties te installeren en willekeurige opdrachten uit te voeren. De aanval vereist geen speciale hardware en kan worden uitgevoerd vanaf een Linux-computer met een standaard Bluetooth-adapter. Technische details over de kwetsbaarheid worden naar verwachting in de toekomst gepubliceerd.

De Bluetooth-kwetsbaarheid treft een breed scala aan apparaten met Android 4.2.2 en hoger, iOS, Linux en macOS. Het treft macOS en iOS wanneer Bluetooth is ingeschakeld en een Apple Magic Keyboard is gekoppeld aan het kwetsbare apparaat. Het werkt ook in de LockDown-modus, Apple's beschermingsmodus tegen digitale bedreigingen. Google zegt dat de bug, CVE-2023-45866, kan leiden tot verhoogde rechten voor apparaten in de buurt zonder dat hiervoor extra uitvoeringsrechten nodig zijn.

Bronlink: https://thanhnien.vn/lo-hong-bluetooth-giup-hacker-kiem-soat-thiet-bi-android-va-ios-185231209171902548.htm