保安警報 (A21-09-03): 藍牙裝置多個漏洞

描述:

在來自多個供應商推行的藍牙 SoC 板中發現了多個漏洞，統稱為 BrakTooth。攻擊者可在含有藍牙裝置的無線範圍內，傳送特製的 Bluetooth Link Manager Protocol (LMP) 封包來攻擊這些漏洞。

受影響的系統:

• 配備藍牙 system-on-chip (SoC) 的裝置

如果系統或裝置受影響，強烈建議諮詢產品供應商和/或裝置製造商。

影響:

成功利用這些漏洞可以導致服務受阻斷或執行任意程式碼，視乎攻擊者利用哪個漏洞而定。

建議:

系統管理員和用戶應向產品供應商查詢，以確認其裝置是否受影響及修補程式的情況。系統管理員和用戶應安裝修補程式或遵從產品供應商的建議以降低風險。

以下連結列出目前受影響的供應商：
https://asset-group.github.io/disclosures/braktooth/

作為保安最佳作業守則，受影響裝置的藍牙在不使用時應關閉。

進一步資訊:

• https://asset-group.github.io/disclosures/braktooth/
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28135
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28136
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28139
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-28155
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-31609 (to CVE-2021-31613)
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-31717
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-31785
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-31786
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-34143 (to CVE-2021-34150)