Słuchawki bezprzewodowe przyjmują parowanie Bluetooth bez zgody użytkownika

CERT/CC z Uniwersytetu Carnegie Mellon ostrzega, że popularne, tanie słuchawki bezprzewodowe przyjmują żądania parowania Bluetooth od obcych urządzeń w pobliżu bez żadnego udziału właściciela. Luka ma wysoką powagę i polega na braku uwierzytelnienia w oprogramowaniu obsługującym łączność Bluetooth, z którego korzysta wielu producentów słuchawek.

Napastnik w zasięgu radiowym łączy się bez kodu PIN, bez dostępu do etui i bez potwierdzenia na telefonie. Po sparowaniu jego urządzenie staje się zaufane i automatycznie łączy się ponownie, gdy tylko znajdzie się w pobliżu. Może wtedy przerwać połączenie właściciela, przejąć odtwarzanie dźwięku, sięgnąć do profilu zestawu słuchawkowego i nagrywać na żywo dźwięk z mikrofonu.

Producent twierdzi, że nowsza wersja oprogramowania usuwa problem, ale zwykły użytkownik nie ma jak jej wgrać: ani ręcznie, ani przez aplikację producenta. Właściciel takich słuchawek nie dostaje więc żadnej poprawki i na razie nie ma jej jak zastosować samodzielnie. Problem zgłosił do CERT/CC zewnętrzny badacz.