SweynTooth es un conjunto de vulnerabilidades de Bluetooth de baja energía. Podemos reproducir muchas de estas vulnerabilidades utilizando Defensics Bluetooth LE Test Suites.

¿Qué es SweynTooth?

SweynTooth es un conjunto de vulnerabilidades de Bluetooth de baja energía descubiertas y divulgadas por Investigadores de la Universidad de Tecnología y Diseño de Singapur. Estas vulnerabilidades se encontraron en varios kits de desarrollo de software Bluetooth LE de siete proveedores de sistema en chip. Según los investigadores, los SDK vulnerables se han utilizado en más de 480 productos finales. Debido a la gran cantidad de vulnerabilidades de SweynTooth descubiertas y sus riesgos e impactos en los dispositivos médicos, la FDA de EE. UU. Ha publicado un Comunicación de seguridad y está vigilando activamente los posibles ataques de SweynTooth. La mayoría de los proveedores afectados ya han publicado parches de seguridad para sus SDK. Se recomienda encarecidamente que actualice a la última versión del SDK si su producto se ve afectado.

Introducción a la defensiva y el fuzzing

Defensics es un inteligente prueba fuzz plataforma con más de 250 conjuntos de pruebas generacionales prediseñados. Su metodología de prueba automatizada se puede utilizar para descubrir nuevas vulnerabilidades desconocidas mediante el envío sistemático de entradas no válidas o inesperadas al sistema bajo prueba. El motor Defensics viene con conocimiento integrado sobre el tipo de entrada, ya sea una interfaz, protocolo o formato de archivo. Debido a que el motor tiene un conocimiento profundo de las reglas que gobiernan la comunicación dentro del tipo de entrada, puede entregar casos de prueba específicos para explotar las posibles debilidades de seguridad de ese tipo de entrada. Las capacidades de informes y pruebas detalladas de Defensics le permiten identificar la causa raíz de fallas críticas de una manera consistente que es fácil de entender y se puede compartir con las partes interesadas involucradas en el proceso de reparación.

Cómo reproducir vulnerabilidades con Defensics

Defensics Suites de prueba Bluetooth LE cubren la pila de hosts, como los perfiles ATT, SMP y GATT. Durante nuestro análisis inicial, pudimos reproducir varias vulnerabilidades de SweynTooth utilizando estos conjuntos de pruebas. Tenga en cuenta que no verificamos los casos de prueba con los dispositivos vulnerables reales. A continuación se muestran algunos tipos de vulnerabilidades de SweynTooth que detectamos a través del fuzzing de Defensics.

Tipos de vulnerabilidades de SweynTooth detectadas con Defensics

Bloqueo inesperado de clave pública (CVE-2019-17520)

Detectamos esta vulnerabilidad de SweynTooth en una implementación de SMP heredada, donde la pila no esperaba recibir una clave pública en absoluto, utilizando el Cliente Bluetooth LE SMP y conjuntos de pruebas de servidor. Aquí hay un caso de prueba específico en el que el indicador de conexión segura se establece en 0 pero aún se envía la clave pública.

Interbloqueo secuencial de ATT (CVE-2019-19192)

El dispositivo vulnerable a este ataque de SweynTooth no pudo manejar una situación en la que el dispositivo central envió paquetes de solicitud ATT consecutivos sin esperar una respuesta ATT del periférico. Reproducimos esta vulnerabilidad usando Defensics Servidor Bluetooth LE ATT y Cliente ATT Suites de prueba. Los mensajes repetidos son parte del conjunto predeterminado de casos de prueba. La siguiente captura de pantalla muestra un caso de prueba en el que ATT Read Request se repite siete veces.

Desbordamiento de tamaño de clave (CVE-2019-19196)

Descubrimos que ciertos dispositivos eran vulnerables a este escenario de desbordamiento de tamaño de clave porque no validaron el valor máximo de tamaño de clave de cifrado que recibieron en una solicitud de emparejamiento.

Usando la defensiva Servidor Bluetooth LE SMP Test Suite, creamos casos de prueba en los que manipulamos el tamaño máximo de clave de cifrado en una solicitud de emparejamiento y luego intentamos iniciar el cifrado independientemente de las respuestas. La siguiente captura de pantalla muestra un caso de prueba en el que el tamaño máximo de la clave de cifrado se establece en 252 bytes.

Instalación Zero LTK (CVE-2019-19194)

La vulnerabilidad Zero LTK Installation SweynTooth significa que, en la práctica, un atacante puede iniciar un procedimiento de emparejamiento de conexiones seguras enviando una solicitud de emparejamiento con el conjunto de indicadores de conexión segura. El atacante espera una respuesta de emparejamiento para asegurarse de que el objetivo se encuentra en un estado en el que se inició el emparejamiento. Luego, el atacante solicita iniciar el cifrado sin primero finalizar completamente el emparejamiento y usar una clave a largo plazo de ceros (cero LTK).

Puede lograr este tipo de escenario con Bluetooth LE SMP Server Test Suite, por ejemplo, ejecutando un caso de prueba que omite el intercambio de claves públicas y simplemente intenta iniciar el cifrado. Desafortunadamente, el conjunto de pruebas del servidor Bluetooth LE SMP no comprueba si podría iniciar el cifrado demasiado pronto. Entonces, en teoría, debería poder activar esta vulnerabilidad, pero es posible que deba verificar y validar los resultados de la prueba manualmente utilizando Wireshark.

La captura de pantalla a continuación muestra un caso de prueba en el que se omite la clave pública y SMP Server Test Suite intenta iniciar el cifrado demasiado pronto con un LTK cero. Aparentemente, este dispositivo no es vulnerable, ya que rechaza la solicitud con el código de error "Falta PIN o clave".

Conclusión

Según nuestro análisis inicial, los conjuntos de pruebas Defensics Bluetooth LE son extremadamente útiles para ayudar a descubrir los cuatro tipos de Vulnerabilidades de SweynTooth. Colaboramos continuamente con los fabricantes de IoT para descubrir nuevas vulnerabilidades con Defensics y solucionarlas. Recomendamos encarecidamente que cualquier nueva vulnerabilidad encontrada se informe de inmediato y se documente adecuadamente, siguiendo las pautas estándar y el proceso de divulgación.

Más información sobre las pruebas de fuzz de Defensics