Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Bluetoothに複数の脆弱性、なりすましや中間者攻撃のおそれ

「Bluetooth」をサポートするデバイスにおいて、複数の脆弱性が判明した。悪用されるとなりすましや中間者攻撃を受けるおそれがある。

機器のペアリングやメッシュネットワークへ参加させるプロビジョニング時に影響を受ける脆弱性など7件が明らかとなったもの。仏国家情報システムセキュリティ庁(ANSSI)の研究者が発見し、標準化などを行っている業界団体のBluetooth Special Interest Group(Bluetooth SIG)に報告した。

「Bluetooth」のコア技術をサポートする機器では、「SecureSimple Pairing(SSP)」「Secure Connections(SC)」「LE Secure Connections(LESC)」で使用するパスキー入力のプロトコルに脆弱性「CVE-2020-26558」が存在。中間者攻撃を受けると機器のなりすましが行われるおそれがある。

「Bluetooth BR/EDR(Basic Rate/Enhanced Data Rate)」では、PINを用いたペアリングにおいて、PINがわからない場合でも通信範囲内よりペアリングし、なりすましが可能となる「CVE-2020-26555」が明らかとなった。

くわえてCVE番号は採番されていないが、「LE Legacyペアリング」の認証において、「一時キー(TK)」を得ていなくても、認証可能となる脆弱性が判明している。

(Security NEXT - 2021/05/25 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Chrome」にアップデート、ゼロデイ脆弱性を修正
「Firefox 89.0.1」が公開 - 脆弱性1件を修正
続くVPN機器への攻撃 - 「修正済み」のつもりが無防備だったケースも
「EC-CUBE 3.0」向け複数プラグインに脆弱性 - 一部はすでに悪用も
「AED」などの医療機器のリモート管理ソフトに深刻な脆弱性 - 米政府が注意喚起
Apple、「iOS 12.5.4」をリリース - 悪用報告ある脆弱性2件を修正
「Adobe Acrobat/Reader」に深刻な脆弱性 - アップデートがリリース
WordPress向けカートプラグインにXSSの脆弱性
「Apache httpd 2.4.48」がリリース - 脆弱性8件を修正
ウェブアプリや周辺インフラにも対応する脆弱性診断サービス