Bluetooth-Keystroke-Injection unter Android, Linux, macOS und iOS

Bluetooth-Schwachstelle zur Umgehung der Authentifizierung

• In mehreren Bluetooth-Stacks existiert eine Schwachstelle zur Umgehung der Authentifizierung, die Verbindungen ohne Benutzerbestätigung ermöglicht und Tastatureingaben einschleusen kann.
• Angreifer können sich über nicht authentifiziertes Bluetooth mit anfälligen Geräten verbinden und Tastatureingaben einschleusen, um Apps zu installieren, beliebige Befehle auszuführen oder Nachrichten zu versenden.
• Für den Angriff ist keine spezielle Hardware erforderlich; er kann von einem Linux-Computer mit einem gewöhnlichen Bluetooth-Adapter aus durchgeführt werden. Detaillierte Informationen zur Schwachstelle und Proof-of-Concept-Skripte sollen später auf einer Konferenz veröffentlicht werden.

Android

• Die Schwachstelle wurde auf folgenden Android-Geräten festgestellt: Pixel 7(Android 14), Pixel 6(Android 13), Pixel 4a(5G)(Android 13), Pixel 2(Android 11), Pixel 2(Android 10), Nexus 5(Android 6.0.1), BLU DASH 3.5(Android 4.2.2).
• Mit dem Sicherheitspatch vom 2023-12-05 wurde die Schwachstelle in Android 11-14 entschärft; für Android 4.2.2-10 gibt es keine Korrektur.
• Offenlegungszeitplan: Am 2023-08-05 an Google gemeldet, am 2023-12-06 veröffentlicht.

Linux/BlueZ

• Die Schwachstelle wurde in folgenden Ubuntu-Versionen festgestellt: Ubuntu 18.04, 20.04, 22.04, 23.10.
• Laut Google ist ChromeOS nicht anfällig. ChromeOS wurde zwar nicht getestet, aber die BlueZ-Konfiguration scheint die Schwachstelle abzumildern.
• Die Schwachstelle wird in BlueZ durch folgenden Patch entschärft: https://git.kernel.org/pub/scm/…
• Offenlegungszeitplan: Am 2023-08-10 an Canonical gemeldet, am 2023-09-25 an die Bluetooth SIG gemeldet, am 2023-10-02 ein Fall bei CERT/CC eröffnet, am 2023-12-06 veröffentlicht.

macOS

• Die Schwachstelle wurde auf folgenden Geräten festgestellt: 2022 MacBook Pro(macOS 13.3.3, M2), 2017 MacBook Air(macOS 12.6.7, Intel).
• Der Lockdown Mode verhindert den Angriff nicht.
• Offenlegungszeitplan: Am 2023-08-01 an Apple gemeldet, am 2023-12-06 veröffentlicht.

iOS

• Die Schwachstelle wurde auf folgendem Gerät festgestellt: iPhone SE(iOS 16.6).
• Der Lockdown Mode verhindert den Angriff nicht.
• Offenlegungszeitplan: Am 2023-08-04 an Apple gemeldet, am 2023-12-06 veröffentlicht.

Stellungnahme des Herstellers

• Google: Ein Fix für das Problem, das Android 11 bis 14 betrifft, wurde den betroffenen OEMs bereitgestellt. Alle derzeit unterstützten Pixel-Geräte werden diesen Fix über das OTA-Update im Dezember erhalten.

Meinung von GN⁺

• Diese Untersuchung enthält eine wichtige Entdeckung, die gängige Annahmen über die Sicherheit von Bluetooth-Geräten auf den Kopf stellt. Bluetooth galt als sicher, zeigt hier jedoch, dass in der Praxis Schwachstellen wie Keystroke-Injection existieren.
• Die auf verschiedenen Plattformen (Android, Linux, macOS, iOS) gefundenen Schwachstellen erinnern Nutzer an die potenziellen Risiken weit verbreiteter Technologien und unterstreichen die Bedeutung der Sicherheitsforschung.
• Der Beitrag liefert Software- und Hardwareentwicklern einen Grund, Sicherheit bereits in frühen Entwurfsphasen zu berücksichtigen, und ist ein interessantes Beispiel dafür, die Zusammenarbeit mit der Security-Research-Community zu fördern.

[GN⁺]

Hacker-News-Kommentare

• Sicherheitshinweise für Android- und Linux-Nutzer

  • Android-Nutzern wird empfohlen, Bluetooth zu deaktivieren, wenn es nicht verwendet wird, und die neuesten Sicherheitsupdates zu installieren.
  • Linux-Nutzern wird empfohlen, in der Datei /etc/bluetooth/input.conf die Einstellung ClassicBondedOnly=true zu aktivieren und den Bluetooth-Dienst neu zu starten.
  • Die Informationen zu macOS und iOS sind unklar.

• Mangel an Informationen zu Bluetooth-Schwachstellen unter Windows

  • Es braucht eine Erklärung, warum Windows offenbar nicht von der Schwachstelle betroffen ist.
  • Es werden Informationen über strukturelle Eigenschaften des Windows-Bluetooth-Stacks oder Sicherheitseinstellungen benötigt.
  • Da Windows einen hohen Marktanteil hat und sich voraussichtlich viele Systemadministratoren dafür interessieren werden, ist die Bereitstellung entsprechender Informationen wichtig.

• Positive Reaktion auf die Behebung der Schwachstelle bei drahtlosen Audioverbindungen

  • In einer Situation, in der physische Audioanschlüsse bei Smartphones verschwinden und drahtlose Verbindungen dominieren, ist die Behebung der Schwachstelle wichtig.

• Status der Behebung der Bluetooth-Schwachstelle in macOS und iOS

  • Es wird darauf hingewiesen, dass die betreffende Schwachstelle in macOS 14.2 und iOS 17.2 behoben wurde.

• Frage zur Funktionsweise der Bluetooth-Schwachstelle

  • Es wird um eine detaillierte Erklärung der Schwachstelle gebeten, bei der die Bluetooth-Host-Zustandsmaschine getäuscht wird, sodass sich ohne Bestätigung des Nutzers eine gefälschte Tastatur koppeln kann.

• Sicherheitsbedenken eines UBPorts-Pinephone-Nutzers

  • Als UBPorts-Pinephone-Nutzer wird die Sorge geäußert, dass es im Vergleich zu iOS/Android noch mehr Sicherheitslücken geben könnte.

• Status der Behebung der Bluetooth-Schwachstelle in Arch Linux

  • Es wird darauf hingewiesen, dass die Schwachstelle in Arch Linux ab bluez Version 5.70-2 behoben wurde.

• Missverständnisse über Bluetooth-Sicherheit und tatsächliche Verwundbarkeit

  • Es wird eine Erfahrung mitgeteilt über die falsche Annahme, Bluetooth sei sicher, sowie über tatsächlich existierende Schwachstellen zur Keystroke-Injection.

• Erfahrungsbericht zur Verwundbarkeit von USB-Verbindungen

  • Es wird die Erfahrung geschildert, dass eine Tastatur funktioniert, wenn sie an einen „nur zum Laden“-Port angeschlossen wird, und die Frage aufgeworfen, ob dies tatsächlich missbraucht werden kann.

• Informationen zu Schwachstellen im Zusammenhang mit USB Rubber Ducky

  • Es werden Informationen über USB Rubber Ducky geteilt, das sich als Bluetooth-Tastatur ausgibt und mit übermenschlicher Geschwindigkeit Keystrokes sendet.