Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Bluetoothに複数の脆弱性、なりすましや中間者攻撃のおそれ

「Bluetooth」をサポートするデバイスにおいて、複数の脆弱性が判明した。悪用されるとなりすましや中間者攻撃を受けるおそれがある。

機器のペアリングやメッシュネットワークへ参加させるプロビジョニング時に影響を受ける脆弱性など7件が明らかとなったもの。仏国家情報システムセキュリティ庁(ANSSI)の研究者が発見し、標準化などを行っている業界団体のBluetooth Special Interest Group(Bluetooth SIG)に報告した。

「Bluetooth」のコア技術をサポートする機器では、「SecureSimple Pairing(SSP)」「Secure Connections(SC)」「LE Secure Connections(LESC)」で使用するパスキー入力のプロトコルに脆弱性「CVE-2020-26558」が存在。中間者攻撃を受けると機器のなりすましが行われるおそれがある。

「Bluetooth BR/EDR(Basic Rate/Enhanced Data Rate)」では、PINを用いたペアリングにおいて、PINがわからない場合でも通信範囲内よりペアリングし、なりすましが可能となる「CVE-2020-26555」が明らかとなった。

くわえてCVE番号は採番されていないが、「LE Legacyペアリング」の認証において、「一時キー(TK)」を得ていなくても、認証可能となる脆弱性が判明している。

(Security NEXT - 2021/05/25 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Cisco ISE」の脆弱性、順次パッチ提供 - リリース後は悪用コードが利用可能に
狙われる顧客管理ツール「SugarCRM」の脆弱性 - 米政府も注意喚起
「スシロー」のAndroidアプリにパスワード漏洩のおそれ - アップデートを
「VMware vROps」にCSRFの脆弱性 - アップデートが公開
脅威情報共有プラットフォーム「MISP」に脆弱性 - パッチで修正
脆弱性スキャナ「Nessus」にセキュリティアップデート
「VMware vRealize Log Insight」の深刻な脆弱性、PoCが公開
コンテナ管理プラットフォーム「Rancher」に深刻な脆弱性
macOS向けアップデート - 複数脆弱性を修正
狙われる「Telerik UI for ASP.NET AJAX」の既知脆弱性