Sicurezza Bluetooth a rischio! Come sfruttare il bug 0-click e digitare comandi arbitrari sulle Smart TV

E’ stata recentemente scoperta una vulnerabilità critica (CVE-2023-45866, CVE-2024-21306) su Bluetooth la quale può essere sfruttata per inserire sequenze di tasti senza la conferma dell’utente, accettando qualsiasi richiesta di accoppiamento Bluetooth. Queste vulnerabilità colpiscono i sistemi operativi Android, Linux, macOS, iOS e Windows, rendendoli una seria minaccia per gli utenti su diverse piattaforme.

Scopriamo il bug di sicurezza CVE-2023-45866

La vulnerabilità CVE-2023-45866 ha un impatto significativo sulle Smart TV che utilizzano Android e Linux senza le necessarie patch e sono dotate di interfaccia Bluetooth. Questo rischio si estende ai dispositivi che eseguono webOS basato su Linux o la versione 3 di Google Chromecast TV.

Sfruttando questa vulnerabilità su Chromecast non ancora aggiornati, è possibile attivare la TV attraverso il dongle Chromecast e inserire sequenze di tasti. Nel caso delle smart TV con webOS, dopo aver eseguito l’exploit PoC, compare un popup con il nome del dispositivo connesso, consentendo l’inserimento della sequenza di tasti.

Potrebbero essere potenzialmente coinvolte anche le Fire TV obsolete con Android e altri box TV basati su Android. I test indicano che, se lo script PoC viene eseguito senza interruzioni anomale, il dispositivo risulta vulnerabile.

Come sfruttare la vulnerabilità

È anche importante notare che un utente malintenzionato deve conoscere l’indirizzo MAC Bluetooth per eseguire l’exploit. Chromecast trasmette l’indirizzo MAC Bluetooth solo se è in modalità di accoppiamento. La televisione con webOS trasmette l’indirizzo MAC Bluetooth continuamente quando la TV è accesa, quindi non è necessario che sia in modalità di accoppiamento. Ciò significa che è più facile ottenere il MAC e accedere alle TV nelle vicinanze.

Le vulnerabilità sono state scoperte da Marc Newlin , che ha anche pubblicato script di sfruttamento dimostrativi. Utilizzando questi script, è possibile inserire sequenze di tasti in qualsiasi dispositivo Android e Linux senza patch in prossimità Bluetooth impersonando la tastiera Bluetooth.

Tale tastiera Bluetooth forzerà l’accoppiamento di un dispositivo preso di mira senza alcuna interazione o notifica da parte dell’utente, rendendo questo exploit uno 0 clic.

L’aggressore può anche connettersi a iOS tramite spoofing della Magic Keyboard, tuttavia la tastiera deve essere fuori dalla portata del Bluetooth e l’aggressore deve comunque conoscere l’indirizzo MAC della Bluetooth Magic Keyboard, il che in uno scenario reale sarà impegnativo. Se sei interessato a maggiori dettagli su queste vulnerabilità che colpiscono Linux, macOS, iOS e Windows, ti consiglio di leggere il blog originale .

Lista dei sistemi operativi affetti dal bug

La tabella sopra illustra che Android fino alla versione 10 è vulnerabile e la correzione non è disponibile. Se utilizzi Android 11 e versioni successive, potresti essere ancora vulnerabile senza la patch di sicurezza 2023-12-05.

Come scoprire i dispositivi Android

La vulnerabilità in Android non richiede alcun clic e i dispositivi non ancora patchati possono essere sfruttati ogni volta che la funzionalità Bluetooth è attiva. È importante notare che questa vulnerabilità interessa esclusivamente la tecnologia Bluetooth classica e non il protocollo Bluetooth Low Energy (BLE). Per sfruttare la vulnerabilità su un dispositivo Android, è necessario inizialmente identificarlo per ottenere il suo indirizzo MAC Bluetooth.

Mentre i dispositivi BLE trasmettono periodicamente pacchetti pubblicitari per essere riconosciuti da altri dispositivi, la rilevazione di un dispositivo Android con Bluetooth classico richiede che quest’ultimo sia in modalità rilevabile.

L’utente deve attivare manualmente questa modalità aprendo le opzioni Bluetooth nelle Impostazioni, consentendo così al suo indirizzo MAC Bluetooth di essere visibile ad altri dispositivi e, in circostanze malevole, a un utente non autorizzato. Con l’indirizzo MAC del dispositivo vulnerabile acquisito, è quindi possibile eseguire l’inserimento di tasti arbitrari per prendere il controllo del bersaglio, rendendo questa situazione un possibile scenario di attacco HID Bluetooth. Per ulteriori dettagli sugli attacchi HID, si consiglia la lettura della guida completa agli attacchi HID che utilizzano gli script Rubber Ducky e l’attacco Bad USB MITM.

Agostino Pellegrino

E’ un libero professionista, insegnante e perito di informatica Forense, Cyber Security ed Ethical Hacking e Network Management. Ha collaborato con importanti istituti di formazione a livello internazionale e ha esercitato teaching e tutorship in tecniche avanzate di Offensive Security per la NATO ottenendo importanti riconoscimenti dal Governo degli Stati Uniti. Il suo motto è “Studio. Sempre”.

Aree di competenza: Cybersecurity architecture, Threat intelligence, Digital forensics, Offensive security, Incident response & SOAR, Malware analysis, Compliance & frameworks