Google e Intel scoprono una vulnerabilità nell'implementazione di Bluetooth nel kernel Linux

I tecnici di Google e Intel hanno riferito della scoperta di una vulnerabilità nell’implementazione dello standard Bluetooth presente anche nelle più recenti versioni del kernel Linux. Al problema di sicurezza è stato assegnato un giudizio 8,3 su 10 a conferma della gravità del problema che nel caso peggiore può consentire l’esecuzione di codice arbitrario sul sistema preso di mira, con i privilegi utente più ampi.

La falla di sicurezza, battezzata BleedingTooth, risiede in BlueZ, stack software che implementa tutto il necessario per usare lo standard Bluetooth sui dispositivi Linux.

I ricercatori hanno per il momento preferito non diffondere i dettagli tecnici per evitare che il problema di sicurezza possa essere sfruttato da parte dei criminali informatici.

“BleedingTooth (CVE-2020-12351) è un insieme di vulnerabilità a zero-click presenti nel sottosistema Bluetooth di Linux che possono permettere a un aggressore non autenticato, posizionatosi fisicamente a breve distanza dal sistema da aggredire di eseguire codice arbitrario“, spiegano i ricercatori.

Intel, una delle realtà che contribuisce allo sviluppo del progetto opensource BlueZ, ha fatto presente che l’unico modo per risolvere i bug di sicurezza consiste nell’installare una serie di patch a livello kernel (indicate in questo bollettino).

Al momento non c’è ragione per mettersi immediatamente in allarme: le vulnerabilità alla base di BleedingTooth richiedono una serie di passaggi assolutamente non banali peraltro eseguiti da un aggressore che abbia la possibilità di rimanere per un po’ di tempo vicino al dispositivo da attaccare. Inoltre, stando a quanto riferito, gli attacchi non hanno successo con la totalità dei dispositivi in circolazione ma soltanto con una parte di essi.

In ottica futura il problema potrebbe riguardare in particolare i dispositivi del mondo Internet delle Cose (IoT) che spesso non ricevono aggiornamenti e che potrebbero essere bersaglio di aggressori particolarmente motivati.