IT業界資訊媒體

【血染晶片】BleedingBit 藍牙晶片漏洞 數百萬 IoT 設備面臨攻擊

在物聯網 IoT 浪潮下,藍牙技術已經成為世界上最受歡迎的無線技術之一。相比起傳統藍牙,低功耗藍牙(Bluetooth Low Energy, BLE) 體積細,成本功耗低,兼容平台多,成為智能設備無線技術嘅理想之選。從手機、電視、到健身設備、甚至心臟起搏器等醫療設備都會用到。BLE 出事,成千萬台 IoT 都可能跟住中招,危害極大。

以色列資安公司 Armis 最近就爆出 Texas Instruments (德州儀器) 生產嘅 BLE 晶片出現兩個嚴重 RCE 漏洞,並叫之為 BleedingBit,黑客無需任何驗證就可遠程執行代碼,完全掌控設備。CiscoArubaMeraki 等公司產品受到影響。

兩個漏洞代號分別係 CVE-2018-16986 以及 CVE-2018-7080,前者因為緩衝區溢位 (buffer overflow) 而觸發漏洞,影響 Cisco Meraki Wifi access point 設備;後者位於軟件更新功能 Over the Air Firmware Download,黑客可以利用逆向工程置入惡意代碼。

Armis 已經通知相關廠商,Texas Instrument 確認存在漏洞。CiscoAruba 亦及時修補,同時指出佢地嘅設備默認狀態下沒有開啟藍牙。

粗略統計數百萬設備會受到本次漏洞影響。

資料來源:https://bit.ly/2JynVTN