จากรายงานของ The Hacker News นักวิจัยด้านความปลอดภัย Marc Newlin ได้รายงานช่องโหว่นี้ต่อผู้จำหน่ายซอฟต์แวร์ในเดือนสิงหาคม 2023 โดยระบุว่าเทคโนโลยีบลูทูธมีช่องโหว่ที่สามารถข้ามการตรวจสอบสิทธิ์ ทำให้ผู้โจมตีสามารถเชื่อมต่อกับอุปกรณ์ในบริเวณใกล้เคียงได้โดยไม่ต้องมีการยืนยันหรือการโต้ตอบจากผู้ใช้
ช่องโหว่นี้ได้รับการกำหนดรหัสติดตาม CVE-2023-45866 ซึ่งอธิบายถึงสถานการณ์การข้ามการตรวจสอบสิทธิ์ที่อนุญาตให้ผู้โจมตีเชื่อมต่อกับอุปกรณ์และเรียกใช้โค้ดโดยการกดปุ่มในนามของเหยื่อ การโจมตีนี้หลอกอุปกรณ์เป้าหมายให้คิดว่าเชื่อมต่อกับคีย์บอร์ดบลูทูธโดยใช้ประโยชน์จากกลไกการจับคู่ที่ไม่ต้องตรวจสอบสิทธิ์ซึ่งกำหนดไว้ในข้อกำหนดของบลูทูธ
มาตรฐานการเชื่อมต่อบลูทูธกำลังเผชิญกับช่องโหว่ด้านความปลอดภัยมากมาย
หากการโจมตีช่องโหว่นี้ประสบความสำเร็จ แฮกเกอร์ที่อยู่ในระยะการเชื่อมต่อบลูทูธจะสามารถส่งข้อมูลการกดแป้นพิมพ์เพื่อติดตั้งแอปพลิเคชันและเรียกใช้คำสั่งใดๆ ก็ได้ ที่สำคัญคือ การโจมตีนี้ไม่จำเป็นต้องใช้ฮาร์ดแวร์พิเศษใดๆ และสามารถดำเนินการได้จากคอมพิวเตอร์ Linux โดยใช้ตัวแปลงสัญญาณบลูทูธมาตรฐาน คาดว่าจะมีการเผยแพร่รายละเอียดทางเทคนิคของช่องโหว่นี้ในอนาคต
ช่องโหว่บลูทูธนี้ส่งผลกระทบต่ออุปกรณ์หลากหลายประเภทที่ใช้ระบบปฏิบัติการ Android เวอร์ชัน 4.2.2 ขึ้นไป รวมถึง iOS, Linux และ macOS ด้วย ช่องโหว่นี้ส่งผลกระทบต่อ macOS และ iOS เมื่อเปิดใช้งานบลูทูธและจับคู่คีย์บอร์ด Apple Magic Keyboard กับอุปกรณ์ที่มีช่องโหว่ นอกจากนี้ยังทำงานได้ในโหมด LockDown ซึ่งเป็นโหมดที่ออกแบบมาเพื่อป้องกันภัยคุกคามทางดิจิทัลของ Apple Google ระบุว่าช่องโหว่ CVE-2023-45866 สามารถนำไปสู่การยกระดับสิทธิ์ในระยะใกล้บนอุปกรณ์โดยไม่จำเป็นต้องมีสิทธิ์ในการเรียกใช้งานเพิ่มเติม
[โฆษณา_2]
ลิงก์แหล่งที่มา
การแสดงความคิดเห็น (0)