Inyección de pulsaciones por Bluetooth en Android, Linux, macOS e iOS

Vulnerabilidad de omisión de autenticación en Bluetooth

• Existe una vulnerabilidad de omisión de autenticación en varias pilas de Bluetooth que permite conectarse e inyectar pulsaciones sin confirmación del usuario.
• Un atacante puede conectarse a un dispositivo vulnerable mediante un Bluetooth no autenticado e inyectar pulsaciones para instalar aplicaciones, ejecutar comandos arbitrarios, enviar mensajes y más.
• El ataque no requiere hardware especial y puede realizarse desde una computadora con Linux usando un adaptador Bluetooth común. Los detalles completos de la vulnerabilidad y los scripts de prueba de concepto se publicarán más adelante en una conferencia.

Android

• Se encontró la vulnerabilidad en los siguientes dispositivos Android: Pixel 7(Android 14), Pixel 6(Android 13), Pixel 4a(5G)(Android 13), Pixel 2(Android 11), Pixel 2(Android 10), Nexus 5(Android 6.0.1), BLU DASH 3.5(Android 4.2.2).
• El parche de seguridad del 2023-12-05 mitigó la vulnerabilidad en Android 11-14; no hay correcciones para Android 4.2.2-10.
• Calendario de divulgación: reportado a Google el 2023-08-05, divulgado el 2023-12-06.

Linux/BlueZ

• Se encontró la vulnerabilidad en las siguientes versiones de Ubuntu: Ubuntu 18.04, 20.04, 22.04, 23.10.
• Según Google, ChromeOS no es vulnerable. No se probó ChromeOS, pero la configuración de BlueZ parece mitigar la vulnerabilidad.
• La vulnerabilidad en BlueZ se mitigó con el siguiente parche: https://git.kernel.org/pub/scm/…
• Calendario de divulgación: reportado a Canonical el 2023-08-10, reportado al Bluetooth SIG el 2023-09-25, caso abierto en CERT/CC el 2023-10-02, divulgado el 2023-12-06.

macOS

• Se encontró la vulnerabilidad en los siguientes dispositivos: MacBook Pro 2022(macOS 13.3.3, M2), MacBook Air 2017(macOS 12.6.7, Intel).
• Lockdown Mode no impide el ataque.
• Calendario de divulgación: reportado a Apple el 2023-08-01, divulgado el 2023-12-06.

iOS

• Se encontró la vulnerabilidad en los siguientes dispositivos: iPhone SE(iOS 16.6).
• Lockdown Mode no impide el ataque.
• Calendario de divulgación: reportado a Apple el 2023-08-04, divulgado el 2023-12-06.

Declaración del fabricante

• Google: Se proporcionó una corrección para el problema que afecta a Android 11 a 14 a los OEM afectados. Todos los dispositivos Pixel con soporte vigente recibirán esta corrección mediante la actualización OTA de diciembre.

Opinión de GN⁺

• Esta investigación incluye hallazgos importantes que contradicen las suposiciones generales sobre la seguridad de los dispositivos Bluetooth. Aunque Bluetooth se consideraba seguro, muestra que en realidad existen vulnerabilidades como la inyección de pulsaciones.
• La vulnerabilidad encontrada en varias plataformas (Android, Linux, macOS, iOS) recuerda a los usuarios los riesgos potenciales de una tecnología ampliamente extendida y subraya la importancia de la investigación en seguridad.
• Este artículo ofrece una razón convincente para que los desarrolladores de software y hardware consideren la seguridad desde las primeras etapas del diseño, y es un caso interesante que fomenta la colaboración con la comunidad de investigación en seguridad.

[GN⁺]

Comentarios de Hacker News

• Guía de medidas de seguridad para usuarios de Android y Linux

  • Se recomienda a los usuarios de Android desactivar Bluetooth cuando no lo estén usando y recibir las actualizaciones de seguridad más recientes.
  • Se recomienda a los usuarios de Linux activar la configuración ClassicBondedOnly=true en el archivo /etc/bluetooth/input.conf y reiniciar el servicio de Bluetooth.
  • La información sobre macOS e iOS es incierta.

• Falta de información sobre la vulnerabilidad de Bluetooth en Windows

  • Se necesita una explicación de por qué Windows estaría libre de la vulnerabilidad.
  • Hace falta información sobre las características estructurales de la pila Bluetooth de Windows o sobre su configuración de seguridad.
  • Dado que Windows tiene una alta cuota de mercado y se espera que muchos administradores de sistemas estén interesados, es importante proporcionar información al respecto.

• Reacción positiva a la solución de la vulnerabilidad en conexiones de audio inalámbricas

  • En una situación en la que las conexiones físicas de audio han desaparecido de los smartphones y predominan las conexiones inalámbricas, es importante corregir esta vulnerabilidad.

• Estado de la corrección de la vulnerabilidad de Bluetooth en macOS e iOS

  • Se informa que la vulnerabilidad fue corregida en macOS 14.2 e iOS 17.2.

• Pregunta sobre el funcionamiento de la vulnerabilidad de Bluetooth

  • Se solicita una explicación detallada sobre la vulnerabilidad que engaña a la máquina de estados del host Bluetooth para emparejar un teclado falso sin confirmación del usuario.

• Preocupaciones de seguridad de un usuario de UBPorts Pinephone

  • Como usuario de UBPorts Pinephone, expresa su preocupación de que pueda haber más vulnerabilidades de seguridad en comparación con iOS/Android.

• Estado de la corrección de la vulnerabilidad de Bluetooth en Arch Linux

  • Se informa que la vulnerabilidad fue corregida en Arch Linux a partir de la versión bluez 5.70-2.

• Malentendidos sobre la seguridad de Bluetooth y vulnerabilidad real

  • Se comparte una experiencia sobre la suposición errónea de que Bluetooth es seguro y sobre la vulnerabilidad real de inyección de pulsaciones de teclado.

• Experiencia sobre la vulnerabilidad de las conexiones USB

  • Se plantea la duda de si realmente puede explotarse el hecho de que, al conectar un teclado a un puerto "solo para carga", este funcione.

• Información sobre vulnerabilidades relacionadas con USB Rubber Ducky

  • Se comparte información sobre USB Rubber Ducky, que utiliza el método de hacerse pasar por un teclado Bluetooth y enviar pulsaciones a una velocidad sobrehumana.