11家廠商SoC產品的藍牙堆疊含嚴重資安漏 - 工程師

Blanche avatar
By Blanche
at 2021-09-11T14:42

Table of Contents

11家廠商SoC產品的藍牙堆疊含嚴重資安漏洞

https://bit.ly/3nC2QOn

近日,資安研究專家發現11家廠商新推出單晶片系統(System-on-a-chip, SoC),其內
部的藍牙連線堆疊存在非常嚴重的資安漏洞(BrakTooth),可導致駭客藉以發動多種資
安攻擊行動,甚至在最壞的情況下執行惡意代碼並接管整個系統。

報告公布生產SoC產品含資安漏洞廠商,包括 Intel、Texas Instruments、Qualcomm、
Zhuhai Jieli Technology、Cypress、Bluetrum Technology、Actions Technology、
Espressif Systems、Harman International、Silabs等公司推出的共十三種SoC產品。

研究人員表示,在他們測試11家供應商的13個 SoC晶片組藍牙軟體庫,可能導致數10億設
備藍牙連線受到新的 BrakTooth漏洞影響。這些藍牙可能使用在1400多個晶片組中,例如
筆記型電腦、智慧手機、工業設備和許多類型的智慧“物聯網”設備。

BrakTooth嚴重影響程度因設備而異

據調查結果,最糟糕的漏洞部分是CVE-2021-28139,它允許遠程攻擊者通過藍牙LMP數據
包在易受攻擊的設備上運行自己的惡意代碼。

根據研究團隊的說法,CVE-2021-28139會影響構建在Espressif Systems ESP32 SoC上的
智能設備和工業設備,但該問題肯定會影響其他1400種商業產品中的許多產品,其中一些
肯定會重複使用相同的藍牙軟體堆疊產品。

其他BrakTooth問題不那麼嚴重,但仍然很煩人。例如,有幾個漏洞可用於通過使用格式
錯誤的藍牙LMP(鏈接管理器協議)數據包淹沒設備來使智慧手機和筆記型電腦上的藍牙
服務崩潰。

易受這些攻擊的有Microsoft Surface筆電、戴爾桌式PC和幾款基於高通的智慧手機型號
。研究小組表示,所有的BrakTooth攻擊都使用價格低於15美元的藍牙設備進行。研究團
隊測試的13款SoC晶片組,總共發現了16個漏洞。

研究人員發布資安漏洞並通知所有11家供應商,但到目前為止,只有樂鑫、英飛凌(前賽
普拉斯)和Bluetrum發布了補丁(patches),而德州儀器表示他們不會解決影響其晶片
組的缺陷。

而負責制定藍牙標準的藍牙小組表示,無法向供應商施加壓力,因為這些問題無關乎藍牙
標準本身,而是供應商自己要去解決改善。

--

All Comments

Frederica avatar
By Frederica
at 2021-09-08T22:24
沒有發哥?? 可以趁機追上了
Jessica avatar
By Jessica
at 2021-09-11T16:23
沒有mediatek,就說台灣強在看不到的地方
Joe avatar
By Joe
at 2021-09-08T22:24
才測試11家而已
William avatar
By William
at 2021-09-11T16:23
沒有螃蟹? 螃蟹讚讚讚
Emma avatar
By Emma
at 2021-09-08T22:24
確定這些美國公司的晶片資安不是精心設計的後門?
沒有後門的發哥跟螃蟹準備要被制裁了嗎?
Callum avatar
By Callum
at 2021-09-11T16:23
沒有mtk跟rtk是因為沒人用還是真的沒有qq
Steve avatar
By Steve
at 2021-09-08T22:24
mtk的藍芽好像是買另一家的牌子

今天補班日有科技業有要上班的嗎?

Michael avatar
By Michael
at 2021-09-11T14:42
如題 今天是補班的日子 滿多傳統產業都要趕著去出門上班的 好奇問一下在科技業的各位 你們今天有需要補班嗎? 我先說我在竹科這邊的公司不用補班~ - ...

為什麼HR那麼邱啊

Frederic avatar
By Frederic
at 2021-09-11T14:28
HR當然邱啊 一年工程師幾個缺,一年HR才開幾個缺 同等學歷下同等級公司絕對是HR職難get到offer 前段公司HR三年有沒有開一個缺都不知道,能應徵上的要馬有關係一開缺就直接內推進了,根本不可能丟到職缺系統,或是至少10年經驗 所以HR對於每個想擔任GG工程師或是豬屎還是前段外商的工程師可是起秋了,畢 ...

誠徵Formality Expert

Ina avatar
By Ina
at 2021-09-11T12:29
[職務性質] 全職AE [需求人數] 1人 [職務說明] 1.推廣公司Function ECO相關產品 2.客戶端進行技術支援,故障排除和訓練 3.與研發及業務團隊合作,了解客戶需求並提供解決方案 [職務需求] 1.Formality Expert ...

台積電將設廠高雄!1優勢「全台唯一」

Dinah avatar
By Dinah
at 2021-09-11T12:10
※ [本文轉錄自 Reewalker 信箱] 作者: Reewalker (報告饅頭班長不夠) 看板: Kaohsiung 標題: [新聞] 台積電將設廠高雄!1優勢「全台唯一」  時間: Fri Sep 10 08:51:52 2021 1.完整新聞連結 (或短網址): 連結過長時可提供短網址方便網友 ...

補班日聊聊科技業職場經驗談

Puput avatar
By Puput
at 2021-09-11T08:05
先說明一下 目前自認在公司已經屬於前25%的員工, 績效比不上更前面負責更多重要事務的副理/經理, 但對下已經遠遠超越虛混度日的同事。 本身心態是希望能兼顧家庭跟工作, 所以計畫下來基本上份內的工作一定盡全力做到90分甚至95分以上, 但是總是會遇到很難解又很重要的Issue或bug, 尤其是會影響其他科技 ...