mardi 26 décembre 2023
Une vulnérabilité majeure a été découverte dans le protocole Bluetooth de plusieurs systèmes d’exploitation populaires, dont Android, macOS, iOS, iPadOS et Linux. Cette faille permet potentiellement le piratage à distance des appareils vulnérables sans action spécifique de l’utilisateur. Le problème réside dans la possibilité de forcer un appareil vulnérable à se connecter à un faux clavier Bluetooth sans confirmation de l’utilisateur, contournant les vérifications de sécurité du système d’exploitation.
Les attaquants peuvent utiliser cette connexion pour entrer des commandes et exécuter des actions comme s’ils étaient l’utilisateur, sans authentification supplémentaire. Selon le chercheur en sécurité Marc Newlin, un simple ordinateur portable Linux avec un adaptateur Bluetooth standard suffit pour une attaque réussie. Toutefois, l’attaque nécessite une proximité physique en raison des limitations de l’interface Bluetooth, réduisant les risques d’exploitation massive.
Android est particulièrement touché, toutes les versions testées (de la 4.2.2 à la 14) étant vulnérables. Google a déjà publié des correctifs pour les versions 11 à 14. Pour les versions antérieures d’Android, il est recommandé de désactiver le Bluetooth, car elles resteront indéfiniment vulnérables.
Pour les systèmes d’exploitation d’Apple, la vulnérabilité a été confirmée dans iOS 16.6, macOS Monterey 12.6.7 (x86) et Ventura 13.3.3 (ARM). Le “Mode Confinement” d’Apple ne protège pas contre cette vulnérabilité. Les appareils Apple ne sont principalement vulnérables que s’ils sont appairés avec un Apple Magic Keyboard, ce qui réduit le risque pour les iPhones.
Enfin, la vulnérabilité affecte également BlueZ, la pile Bluetooth du noyau Linux officiel, confirmée dans les versions Ubuntu Linux 18.04, 20.04, 22.04 et 23.10. Un correctif existe depuis 2020, mais il est généralement désactivé par défaut dans les distributions Linux, à l’exception de ChromeOS.
Source :
Visits: 6
Une vulnérabilité majeure a été découverte dans le protocole Bluetooth de plusieurs systèmes d’exploitation populaires, dont Android, macOS, iOS, iPadOS et Linux. Cette faille permet potentiellement le piratage à distance des appareils vulnérables sans action spécifique de l’utilisateur. Le problème réside dans la possibilité de forcer un appareil vulnérable à se connecter à un faux clavier Bluetooth sans confirmation de l’utilisateur, contournant les vérifications de sécurité du système d’exploitation.
Les attaquants peuvent utiliser cette connexion pour entrer des commandes et exécuter des actions comme s’ils étaient l’utilisateur, sans authentification supplémentaire. Selon le chercheur en sécurité Marc Newlin, un simple ordinateur portable Linux avec un adaptateur Bluetooth standard suffit pour une attaque réussie. Toutefois, l’attaque nécessite une proximité physique en raison des limitations de l’interface Bluetooth, réduisant les risques d’exploitation massive.
Android est particulièrement touché, toutes les versions testées (de la 4.2.2 à la 14) étant vulnérables. Google a déjà publié des correctifs pour les versions 11 à 14. Pour les versions antérieures d’Android, il est recommandé de désactiver le Bluetooth, car elles resteront indéfiniment vulnérables.
Pour les systèmes d’exploitation d’Apple, la vulnérabilité a été confirmée dans iOS 16.6, macOS Monterey 12.6.7 (x86) et Ventura 13.3.3 (ARM). Le “Mode Confinement” d’Apple ne protège pas contre cette vulnérabilité. Les appareils Apple ne sont principalement vulnérables que s’ils sont appairés avec un Apple Magic Keyboard, ce qui réduit le risque pour les iPhones.
Enfin, la vulnérabilité affecte également BlueZ, la pile Bluetooth du noyau Linux officiel, confirmée dans les versions Ubuntu Linux 18.04, 20.04, 22.04 et 23.10. Un correctif existe depuis 2020, mais il est généralement désactivé par défaut dans les distributions Linux, à l’exception de ChromeOS.
Source :
Visits: 6
Une vulnérabilité majeure a été découverte dans le protocole Bluetooth de plusieurs systèmes d’exploitation populaires, dont Android, macOS, iOS, iPadOS et Linux. Cette faille permet potentiellement le piratage à distance des appareils vulnérables sans action spécifique de l’utilisateur. Le problème réside dans la possibilité de forcer un appareil vulnérable à se connecter à un faux clavier Bluetooth sans confirmation de l’utilisateur, contournant les vérifications de sécurité du système d’exploitation.
Les attaquants peuvent utiliser cette connexion pour entrer des commandes et exécuter des actions comme s’ils étaient l’utilisateur, sans authentification supplémentaire. Selon le chercheur en sécurité Marc Newlin, un simple ordinateur portable Linux avec un adaptateur Bluetooth standard suffit pour une attaque réussie. Toutefois, l’attaque nécessite une proximité physique en raison des limitations de l’interface Bluetooth, réduisant les risques d’exploitation massive.
Android est particulièrement touché, toutes les versions testées (de la 4.2.2 à la 14) étant vulnérables. Google a déjà publié des correctifs pour les versions 11 à 14. Pour les versions antérieures d’Android, il est recommandé de désactiver le Bluetooth, car elles resteront indéfiniment vulnérables.
Pour les systèmes d’exploitation d’Apple, la vulnérabilité a été confirmée dans iOS 16.6, macOS Monterey 12.6.7 (x86) et Ventura 13.3.3 (ARM). Le “Mode Confinement” d’Apple ne protège pas contre cette vulnérabilité. Les appareils Apple ne sont principalement vulnérables que s’ils sont appairés avec un Apple Magic Keyboard, ce qui réduit le risque pour les iPhones.
Enfin, la vulnérabilité affecte également BlueZ, la pile Bluetooth du noyau Linux officiel, confirmée dans les versions Ubuntu Linux 18.04, 20.04, 22.04 et 23.10. Un correctif existe depuis 2020, mais il est généralement désactivé par défaut dans les distributions Linux, à l’exception de ChromeOS.
Source :
Visits: 6