Según The Hacker News , el investigador de seguridad Marc Newlin fue quien informó la vulnerabilidad a los proveedores de software en agosto de 2023. Dijo que la tecnología Bluetooth tiene una vulnerabilidad de evasión de autenticación, lo que permite a los atacantes conectarse a dispositivos dentro del alcance sin la confirmación del usuario y realizar operaciones.
Al error se le ha asignado el número de seguimiento CVE-2023-45866, que describe una omisión de autenticación que permite a un actor de amenazas conectarse a dispositivos, realizar pulsaciones de teclas y ejecutar código como la víctima. El ataque engaña al dispositivo objetivo haciéndole creer que está conectado a un teclado Bluetooth aprovechando el mecanismo de emparejamiento no autenticado definido en la especificación Bluetooth.
El estándar de conectividad Bluetooth enfrenta muchas fallas de seguridad
La explotación exitosa de la vulnerabilidad podría permitir a un atacante dentro del alcance de una conexión Bluetooth transmitir pulsaciones de teclas para instalar aplicaciones y ejecutar comandos arbitrarios. Vale la pena señalar que el ataque no requiere ningún hardware especializado y puede realizarse desde una computadora Linux utilizando un adaptador Bluetooth común. Se espera que en el futuro se publiquen detalles técnicos de la vulnerabilidad.
Esta vulnerabilidad de Bluetooth afecta a una amplia gama de dispositivos que ejecutan Android desde la versión 4.2.2, iOS, Linux y macOS. El error afecta a macOS e iOS cuando Bluetooth está habilitado y un teclado Apple (Magic Keyboard) está emparejado con un dispositivo vulnerable. También funciona en modo LockDown, el modo de protección contra amenazas digitales de Apple. Google dice que el error, CVE-2023-45866, podría provocar una escalada de privilegios cerca del dispositivo sin requerir privilegios de ejecución adicionales.
[anuncio_2]
Enlace de origen
Kommentar (0)