• IT-Karriere:
  • Services:

Bleedingtooth: Google und Intel warnen vor neuen Bluetooth-Lücken

Laut Google lässt sich über die Sicherheitslücken Code aus der Ferne ausführen. Intel hat sie veröffentlicht, bevor Patches ausgeliefert wurden.

Artikel veröffentlicht am ,
Ein Knopf mit Bluetooth-Logo
Ein Knopf mit Bluetooth-Logo (Bild: Omar Torres/AFP via Getty Images)

Noch ist nicht viel bekannt über neue Bluetooth-Lücken, aber sie haben mit Bleedingtooth (CVE-2020-12351, CVE-2020-12352, CVE-2020-24490) schon einen Namen. Google und Intel warnen vor Sicherheitslücken in der Linux-Bluetooth-Implementierung Bluez. Während Andy Nguyen, Sicherheitsforscher bei Google, von einer Code-Ausführung ohne Interaktion innerhalb der Bluetooth-Reichweite berichtet, spricht Intel von einer Rechteausweitung. Derzeit stehen keine gepatchten Bluez-Versionen zur Verfügung. Intel wird für die frühzeitige Veröffentlichung kritisiert.

Stellenmarkt
  1. Bundesamt für Sicherheit in der Informationstechnik, Bonn
  2. Schaeffler Digital Solutions GmbH, Chemnitz

"Bleedingtooth ist eine Reihe von Zero-Klick-Sicherheitslücken im Linux-Bluetooth-Subsystem, die es einem nicht authentifizierten entfernten Angreifer auf kurze Distanz erlauben könnten, beliebigen Code mit Kernel-Privilegien auf verwundbaren Geräten auszuführen", fasst Nguyen die Problematik auf Twitter zusammen. Weitere Details würden in Kürze in einem Blogeintrag in Googles Sicherheitsblog veröffentlicht. Wie Code über die Bluetooth-Lücke auf einem Laptop mit Ubuntu ausgeführt werden kann, demonstriert derweil ein Proof-of-Concept-Video.

Kritik an Intel

Der Sicherheitsforscher Matthew Garrett, ebenfalls von Google, kritisiert derweil Intel für die frühzeitige Veröffentlichung der Schwachstellen: Es gebe weder Patches im Linux Kernel 5.9, auch wenn das zum Teil behauptet würde, noch seien die Distributionen benachrichtigt worden. So hätten diese keine rückportierten Patches auf den jeweils von ihnen eingesetzten Kernel-Versionen ausliefern können.

"Fast genau dasselbe passierte Anfang dieses Jahres", schreibt Garrett auf Twitter. Damals habe Intel ebenfalls eine Sicherheitslücke in Bluez veröffentlicht, ohne den Bescheid zu geben. Garrett habe dies dann nachträglich getan. Teil des Problems sei zudem, dass die aktuellen Patches in Bluez nicht im Mainline-Branch des Linux-Kernel gelandet seien, sondern im Next-Branch, erwidert Nguyen.

Vor besondere Probleme dürfte die Lücke IoT-Geräte auf Linux-Basis stellen, die Bluetooth aktiv verwenden: Während Linux-Distributionen die Patches verteilen, sobald sie verfügbar sind, pflegen Hersteller von Internet-of-Things-Geräten diese oft nur sehr kurz, schlecht oder gar nicht - entsprechend werden bei diesen Geräten die Lücken oftmals sehr spät oder nie geschlossen. Android hat eine eigene Bluetooth-Implementierung und ist daher nicht betroffen.

Nachtrag vom 16. Oktober 2020, 12:30 Uhr

Mittlerweile sind die Patches im Mailine-Kernel angekommen und an Backports für die Stable-Versionen wird gearbeitet. Laut dem Kernel-Log hat Intel die Patches bereits Anfang August erstellt, aber über zwei Monate nicht dafür gesorgt, dass die Linux-Distributionen darüber informiert wurden.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Mobile-Angebote
  1. 369,99€ (Bestpreis!)
  2. 634,90€ (Bestpreis!)
  3. 689€ (mit Rabattcode "PRIMA10" - Bestpreis!)
  4. 206,10€ (mit Rabattcode "PFIFFIGER" - Bestpreis!)

mtr (golem.de) 15. Okt 2020 / Themenstart

Hallo, tatsächlich haben Android und iOS eigene Bluetooth-Implementierungen, die von den...

Siliciumknight 15. Okt 2020 / Themenstart

Die Netflix Serie Bojack Horseman ist da anderer Meinung. Sowie Wikipedia: https://de...

Kommentieren


Folgen Sie uns
       


ANC-Kopfhörer im Vergleich

Wir haben Sonys neuen WH-1000XM4 bei der ANC-Leistung gegen Sonys alten WH-1000XM3 und Boses Noise Cancelling Headphones 700 antreten lassen.

ANC-Kopfhörer im Vergleich Video aufrufen
    •  /