L’allarme è stato lanciato da Google e Intel: BlueZ, lo stack di protocolli Bluetooth usato da Linux e che fornisce supporto ai dispositivi IoT, ha una grave falla di sicurezza.
La vulnerabilità, chiamata BleedingTooth, può essere sfruttata in un attacco “zero-click” tramite un input creato ad hoc da un utente locale non autenticato il che, potenzialmente, potrebbe portare all’escalation dei privilegi.
“Zero-click” perché un utente malintenzionato che si trova a breve distanza e che conosce l’indirizzo bd (bluetooth) della vittima, può inviare un pacchetto l2cap (Logical Link Control and Adaptation Layer Protocol) compromesso e causare un denial of service o eseguire del codice arbitrario con privilegi elevati, questo secondo quanto spiegato da Google su GitHub.
Per questa vulnerabilità è stata aperta la CVE-2020-12351 e classificata come una type-confusion vulnerability ovvero un tipo di bug che può portare ad accedere a parti di memoria normalmente non raggiungibili (out-of-bounds memory access) e che renderebbe il sistema instabile.
La vulnerabilità colpisce gli utenti che utilizzano versioni del Kernel precedenti alla 5.9. BlueZ è presente nel Kernel Linux dalla versione 2.4.6.
La soluzione a tutte queste falle (ed in questo caso lo è) sarebbe tenere sempre tutto aggiornato… sempre che il vostro dispositivo IoT possa farlo!
Affascinata sin da piccola dai computer (anche se al massimo avevo un cluster di Mio Caro Diario), sono un’opensourcer per caso, da quando sono incappata in Mandrake. Legacy dentro. Se state leggendo un articolo amarcord, probabilmente l’ho scritto io.
Lascia un commento