满足客户利益 提供最优方案

公司新闻

重磅级蓝牙漏洞 BLUFFS:2014 年以来数十亿台设备均受影响

11 月 30 日消息,网络安全专家近日报告,发现蓝牙连接协议中存在 2 个全新的安全漏洞,使用蓝牙 4.2 至 5.4 版本的所有设备均存在被攻击者劫持的风险影响自 2014 年年底至今的所有蓝牙设备。

 

Eurecom 安全专家丹尼尔安东尼奥利(Daniele Antonioli)解释称,利用这 2 个蓝牙标准中的漏洞,目前已开发了 6 种类型的全新攻击方式,统称为“BLUFFS”,可以破坏蓝牙会话的保密性,可以冒充设备或者执行中间人(MitM)攻击。

本次曝光的两个漏洞,主要和蓝牙协议中会话密钥的派生方式有关,而这些密钥负责解密交换中的数据。

 

 重磅级蓝牙漏洞 BLUFFS:2014 年以来数十亿台设备均受影响(图1)

 

目前这两个漏洞的安全追踪编号为 CVE-2023-24023,影响采用 4.2 至 5.4 版本的蓝牙设备。

 

 重磅级蓝牙漏洞 BLUFFS:2014 年以来数十亿台设备均受影响(图2)

 

 

目前蓝牙成为很多设备的标准配置,预估全球范围内,包括笔记本电脑、智能手机和其他移动设备在内,会有数十亿台设备受到影响。BLUFFS 影响 2014 年 12 月发布的蓝牙 4.2 以及 2023 年 2 月发布的最新版本蓝牙 5.4 之间的所有版本。

重磅级蓝牙漏洞 BLUFFS:2014 年以来数十亿台设备均受影响(图3)

 

Bluetooth SIG(Special Interest Group)是负责监督蓝牙标准开发并负责该技术许可的非营利组织,已收到 Eurecom 的报告,并在其网站上发表了一份声明。

该组织建议,拒绝使用低于七个 octets 的低密钥强度连接,使用“Security Mode 4 Level 4”,以确保更高的加密强度级别,并在配对时以“仅安全连接”模式运行。