Security NEXTでは、最新の情報セキュリティに関するニュースを日刊でお届けしています。

Bluetoothに複数の脆弱性、なりすましや中間者攻撃のおそれ

「Bluetooth」をサポートするデバイスにおいて、複数の脆弱性が判明した。悪用されるとなりすましや中間者攻撃を受けるおそれがある。

機器のペアリングやメッシュネットワークへ参加させるプロビジョニング時に影響を受ける脆弱性など7件が明らかとなったもの。仏国家情報システムセキュリティ庁(ANSSI)の研究者が発見し、標準化などを行っている業界団体のBluetooth Special Interest Group(Bluetooth SIG)に報告した。

「Bluetooth」のコア技術をサポートする機器では、「SecureSimple Pairing(SSP)」「Secure Connections(SC)」「LE Secure Connections(LESC)」で使用するパスキー入力のプロトコルに脆弱性「CVE-2020-26558」が存在。中間者攻撃を受けると機器のなりすましが行われるおそれがある。

「Bluetooth BR/EDR(Basic Rate/Enhanced Data Rate)」では、PINを用いたペアリングにおいて、PINがわからない場合でも通信範囲内よりペアリングし、なりすましが可能となる「CVE-2020-26555」が明らかとなった。

くわえてCVE番号は採番されていないが、「LE Legacyペアリング」の認証において、「一時キー(TK)」を得ていなくても、認証可能となる脆弱性が判明している。

(Security NEXT - 2021/05/25 ) このエントリーをはてなブックマークに追加

PR

関連記事

「Deep Security」などトレンド2製品に脆弱性 - 実証コードが公開済み
DB管理ツール「phpMyAdmin」にアップデート - 脆弱性など解消
「McAfee Enterprise」のWindows向けエージェントに複数の脆弱性
「Microsoft Edge 97.0.1072.69」がリリースに - 一部独自修正も
「Drupal」に複数脆弱性 - サードパーティ製ライブラリに起因
F5がセキュリティアップデート - 脆弱性25件を修正
「Adobe Acrobat/Reader」のアップデートが公開 - 26件の脆弱性を解消
Google、深刻な脆弱性に対処した「Chrome 97.0.4692.99」をリリース
Oracle、四半期定例パッチをリリース - 約500件の脆弱性に対応
PHP向けメールフォームプログラムに脆弱性 - 昨年の更新で修正済み