Bluetooth SIG, une organisation qui supervise le développement des normes Bluetooth, a publié aujourd’hui un déclaration informer les utilisateurs et les fournisseurs d’une vulnérabilité non corrigée récemment signalée qui affecte potentiellement des centaines de millions d’appareils dans le monde.

Découverte indépendamment par deux équipes distinctes de chercheurs universitaires, la faille réside dans la dérivation de clé de transport croisé (CTKD) des appareils prenant en charge à la fois la norme Basic Rate / Enhanced Data Rate (BR / EDR) et Bluetooth Low Energy (BLE).

La dérivation de clé de transport croisé (CTKD) est un composant Bluetooth chargé de négocier les clés d’authentification lors du jumelage de deux appareils Bluetooth, également appelés appareils «bimode».

Surnommé «  BLURtooth  » et suivi comme CVE-2020-15802, la faille expose les appareils alimentés par la technologie Bluetooth 4.0 ou 5.0, permettant aux attaquants de se connecter sans autorisation à un appareil ciblé à proximité en écrasant la clé authentifiée ou en réduisant la force de la clé de cryptage.

« Les appareils bimode utilisant CTKD pour générer une clé à long terme (LTK) ou une clé de liaison (LK) sont capables d’écraser le LTK ou LK d’origine dans les cas où ce transport imposait un niveau de sécurité plus élevé », expliquent les chercheurs.

« Les dispositifs vulnérables doivent permettre à un appariement ou une liaison de se dérouler de manière transparente sans authentification, ou avec une force de clé faible, sur au moins un des transports BR / EDR ou LE afin d’être susceptibles d’être attaqués. »

En d’autres termes, la capacité à tirer parti des failles sous des implémentations spécifiques du processus d’appariement qui pourrait permettre aux appareils d’écraser les clés d’autorisation lorsque le transport impose un niveau de sécurité plus élevé.

Selon un consultatif publié par Carnegie Mellon CERT Coordination Center, la faille peut conduire à plusieurs attaques potentielles, regroupées sous le nom de «attaques BLUR», y compris l’attaque de l’homme du milieu.

« Si un appareil usurpant l’identité d’un autre appareil est couplé ou lié sur un transport et que CTKD est utilisé pour dériver une clé qui écrase ensuite une clé préexistante de plus grande force ou qui a été créée à l’aide de l’authentification, l’accès aux services authentifiés peut alors avoir lieu », Bluetooth SIG a averti de la même chose.

« Cela peut permettre une attaque Man In The Middle (MITM) entre des appareils précédemment liés à l’aide d’un couplage authentifié lorsque ces appareils homologues sont tous deux vulnérables. »

En plus de recommander d’introduire des restrictions sur le CTKD mandatées dans Spécification Bluetooth Core versions 5.1 et ultérieures en tant qu’atténuation principale, Bluetooth SIG a également commencé à coordonner avec les fabricants d’appareils concernés pour les aider à publier rapidement les correctifs nécessaires.

«Le Bluetooth SIG recommande en outre que les appareils limitent lorsqu’ils sont appairables sur le transport à des moments où l’interaction de l’utilisateur place l’appareil en mode appairable ou lorsque l’appareil n’a pas de liaisons ou de connexions existantes à un appareil apparié», ont déclaré les chercheurs.