VULNERABILITA’ BLUETOOTH (CWE-325) IMPERATIVO AGGIORNARE I DISPOSITIVI

VULNERABILITA’ BLUETOOTH (CWE-325)
IMPERATIVO AGGIORNARE I DISPOSITIVI

Il “National Cybersecurity and Communications Integration Center” degli Stati Uniti ha emesso ieri un documento che mira a incoraggiare gli utenti e gli Amministratori delle Aziende pubbliche e private a rivedere la nota della vulnerabilità (CWE-325, CVE-2018-5383) individuata sulla tecnologia di comunicazione senza fili Bluetooth a seguito del rilascio degli aggiornamenti da parte dei Vendor. Tale vulnerabilità permetterebbe ad un attaccante di intercettare e decodificare tutto il traffico di un dispositivo oppure inserirsi nella comunicazione ed inviare falsi o malevoli messaggi (attacco Man In The Middle).

La problematica riguarda sia le implementazioni più recenti del Bluetooth a basso consumo energetico (LE), molto utilizzato negli aspetti dell’ IoT, Medical e soprattutto nel settore Auomotive, legate al Sistema
Operativo, sia quelle più datate BR/EDR legate al firmware del dispositivo.

Trattandosi di una vulnerabilità individuata già qualche mese fa, nelle prossime settimane sono previsti gli aggiornamenti per i dispositivi che ancora non sono stati protetti. E’ importante pertanto che tutti gli utilizzatori di dispositivi Bluetooth verifichino sul sito del proprio fornitore la disponibilità di aggiornamenti. Nella tabella sotto si possono trovare le informazioni di alcuni Vendor). Su tale vulnerabilità “Bluetooth SIG” (la comunità globale di oltre 30.000 aziende che curano lo standard di questa tecnologia) ha rilasciato, sempre nella giornata di ieri, una dichiarazione pubblica.

VendorStatusDate NotifiedDate Updated
AppleAffected18 Jan 201823 Jul 2018
BroadcomAffected18 Jan 201819 Jun 2018
IntelAffected18 Jan 201823 Jul 2018
QUALCOMM IncorporatedAffected18 Jan 201806 Feb 2018
MicrosoftNot Affected06 Feb 201820 Jul 2018
Android Open Source ProjectUnknown18 Jan 201818 Jan 2018
Bluetooth SIGUnknown06 Feb 201806 Feb 2018
GoogleUnknown19 Mar 201819 Mar 2018
Linux KernelUnknown05 Mar 201805 Mar 2018
https://www.kb.cert.org/vuls/id/304725

La tecnologia Bluetooth, grazie ai nuovi standard che hanno ampliato il campo di copertura del segnale e ridotto il consumo di energia, sta diventando sempre più presente nella vita di tutti i giorni, grazie alle nuove tecnologie soprattutto come abbiamo accennato nei campi dell’IoT, in quello medicale e in quello dell’Automotive. Il Bluetooth rappresenta il primo protocollo wireless scelto dalla “Continua Health Alliance” ed avrà una grande diffusione nelle applicazioni medicali di uso domestico.

https://www.digikey.it/it/articles/techzone/2015/jul/wireless-monitoring-in-portable-medical-systems

Ma il Bluetooth permette anche di trasferire o sincronizzare dati tra computer e dispositivi vari, di utilizzare una tastiera o un mouse wireless, collegarsi a stampanti, auricolari, cuffie o altoparlanti senza fili e anche condividere la connessione internet ad altri dispositivi. La release 4.2 del protocollo Bluetooth si prefissa poi di consentire il collegamento diretto con un gateway Internet da parte dei dispositivi IoT. E non c’è alcun limite ai possibili campi di applicazione di questi dispositivi, spaziando dalla domotica agli impianti di controllo industriale.

E’ facile pertanto, a questo punto, riflettere su cosa potrebbe comportare un attacco al protocollo Bluetooth. Anche solo l’intercettazione e decifratura del traffico scambiato da determinati dispositivi con internet
potrebbe rappresentare un serio pericolo per l’utente/azienda. Per non parlare poi della possibile alterazione dei parametri di automobili, macchine industriali o della domotica aziendale. Infine, genericamente, un attacco al Bluetooth potrebbe anche permettere ad un criminale di saltare da una macchina vulnerabile ad altri dispositivi della rete.

E’ fondamentale quindi non trascurare gli aggiornamenti di questa tecnologia, e trattare i dispositivi bluetooth e in genere tutti quelli dell’IoT, al pari di tutti i dispositivi della rete, prevedendo anche per essi un periodico controllo delle vulnerabilità.