புதிய புளூடூத் சில்லுகளில் பாதுகாப்பு குறைபாடு மில்லியன் கணக்கான பயனர்களை தொலை தாக்குதல்களுக்கு அம்பலப்படுத்தக்கூடும்

ஒருங்கிணைந்த புளூடூத் அம்சம் இல்லாத கணினியின் எடுத்துக்காட்டு

ஒரு அறிக்கையின்படி theHackerNews பாதுகாப்பு ஆய்வாளர்கள் புளூடூத் சில்லுகளில் ஒரு புதிய பாதிப்பைக் கண்டறிந்துள்ளனர், இது மில்லியன் கணக்கான பயனர்களை தொலைதூர தாக்குதல்களுக்கு உட்படுத்தக்கூடும். பாதிப்பு இஸ்ரேலிய பாதுகாப்பு நிறுவனமான ஆர்மிஸின் ஆராய்ச்சியாளர்களால் கண்டுபிடிக்கப்பட்டது, இப்போது இது அழைக்கப்படுகிறது இரத்தப்போக்கு பிட் .

முதல் பாதிப்பு என அடையாளம் காணப்பட்டுள்ளது சி.வி.இ-2018-16986 மற்றும் TI சில்லுகளில் உள்ளது சிசி 2640 மற்றும் CC2650 . பாதிப்பு சிஸ்கோ மற்றும் மெராகியின் வைஃபை அணுகல் புள்ளிகளைப் பாதிக்கிறது மற்றும் புளூடூத் சில்லுகளில் உள்ள ஓட்டைகளைப் பயன்படுத்துகிறது. பாதிப்பு நினைவக சிதைவை ஏற்படுத்தும் சிப்பை ஓவர்லோட் செய்ய தாக்குபவர்களை அனுமதிக்கிறது மற்றும் பாதிக்கப்பட்ட சாதனத்தில் தீங்கிழைக்கும் குறியீட்டை இயக்க தாக்குபவர் அனுமதிக்கிறது.

முதலாவதாக, தாக்குபவர் விளம்பர பாக்கெட்டுகள் எனப்படும் பல தீங்கற்ற BLE ஒளிபரப்பு செய்திகளை அனுப்புகிறார், இது இலக்கு சாதனத்தில் பாதிக்கப்படக்கூடிய BLE சிப்பின் நினைவகத்தில் சேமிக்கப்படும்.

அடுத்து, தாக்குபவர் வழிதல் பாக்கெட்டை அனுப்புகிறார், இது ஒரு நுட்பமான மாற்றத்துடன் கூடிய நிலையான விளம்பர பாக்கெட் ஆகும் - அதன் தலைப்பில் ஒரு குறிப்பிட்ட பிட் அணைக்கப்படுவதற்கு பதிலாக இயக்கப்பட்டது. இந்த பிட் சிப்பிற்கு பாக்கெட்டிலிருந்து தகவல்களை உண்மையிலேயே தேவைப்படுவதை விட மிகப் பெரிய இடத்தை ஒதுக்க காரணமாகிறது, இது செயல்பாட்டில் முக்கியமான நினைவகத்தின் வழிதல் தூண்டுகிறது.

இரண்டாவது பாதிப்பு CVE-2018-7080 என அடையாளம் காணப்பட்டுள்ளது, CC2642R2, CC2640R2, CC2640, CC2650, CC2540 மற்றும் CC2541 TI இல் வசிக்கிறது, மேலும் அருபாவின் வைஃபை அணுகல் புள்ளி தொடர் 300 ஐ பாதிக்கிறது. இந்த பாதிப்பு ஒரு தீங்கிழைக்கும் ஒரு ஹேக்கரை வழங்க அனுமதிக்கும் பயனருக்கு இது தெரியாமல் புதுப்பிக்கவும்.

இயல்பாக, பாதுகாப்பான நிலைபொருள் புதுப்பிப்புகளை நிவர்த்தி செய்ய OAD அம்சம் தானாக கட்டமைக்கப்படவில்லை. இது GATT பரிவர்த்தனைக்கு மேல் BLE சிப்பில் இயங்கும் ஃபார்ம்வேரின் எளிய புதுப்பிப்பு பொறிமுறையை அனுமதிக்கிறது.

தாக்குபவர் பாதிக்கப்படக்கூடிய அணுகல் புள்ளியில் பி.எல்.இ சில்லுடன் இணைக்க முடியும் மற்றும் தாக்குபவரின் சொந்த குறியீட்டைக் கொண்ட தீங்கிழைக்கும் ஃபார்ம்வேரைப் பதிவேற்றலாம், அதன் இயக்க முறைமையை முழுவதுமாக மீண்டும் எழுத அனுமதிக்கிறது, இதன் மூலம் அதன் மீது முழு கட்டுப்பாட்டையும் பெற முடியும்.

பதிவு லொக்கேட்டர் aa பொருள்

நல்ல செய்தி என்னவென்றால், அனைத்து பாதிப்புகளும் ஆர்மிஸால் ஜூன் 2018 இல் பொறுப்பான நிறுவனங்களுக்குத் தெரிவிக்கப்பட்டன, பின்னர் அவை இணைக்கப்பட்டுள்ளன. மேலும், சிஸ்கோ மற்றும் அருபா இருவரும் தங்கள் சாதனங்கள் முன்னிருப்பாக புளூடூத் முடக்கப்பட்டுள்ளன என்று குறிப்பிட்டனர். இந்த பூஜ்ஜிய நாள் பாதிப்புகளில் எதையும் வனப்பகுதியில் தீவிரமாக சுரண்டுவதை எந்த விற்பனையாளரும் அறிந்திருக்கவில்லை.