ZeroPair

Exploit Bluetooth de autenticación cero

"Roba la impresión, controla el sistema"

███████╗███████╗██████╗  ██████╗
╚══███╔╝██╔════╝██╔══██╗██╔═══██╗
  ███╔╝ █████╗  ██████╔╝██║   ██║
 ███╔╝  ██╔══╝  ██╔══██╗██║   ██║
███████╗███████╗██║  ██║╚██████╔╝
╚══════╝╚══════╝╚═╝  ╚═╝ ╚═════╝
    ██████╗  █████╗ ██╗██████╗
    ██╔══██╗██╔══██╗██║██╔══██╗
    ██████╔╝███████║██║██████╔╝
    ██╔═══╝ ██╔══██║██║██╔══██╗
    ██║     ██║  ██║██║██║  ██║
    ╚═╝     ╚═╝  ╚═╝╚═╝╚═╝  ╚═╝

Autor: [CBKB] DeadlyData | 2026

ZeroPair es una herramienta de prueba de concepto que demuestra una vulnerabilidad de autenticación cero en impresoras térmicas con Bluetooth que utilizan chipsets Jieli y Barrot. Los dispositivos afectados aceptan conexiones RFCOMM no autenticadas sin requerir emparejamiento ni interacción del usuario, lo que permite a un atacante dentro del alcance Bluetooth acceder a la interfaz de comandos de la impresora.

CVE: Enviado a MITRE (asignación pendiente)

Prueba de concepto

Resumen de la vulnerabilidad

Las impresoras térmicas con Bluetooth que utilizan chipsets Bluetooth Jieli y Barrot contienen una vulnerabilidad de bypass de autenticación en su servicio RFCOMM (SPP). Debido a un control de acceso inadecuado implementado en el firmware, los dispositivos afectados aceptan conexiones RFCOMM no autenticadas sin requerir emparejamiento ni interacción del usuario. La vulnerabilidad existe en un estado de confianza de firmware oculto que no puede inspeccionarse ni eliminarse con las herramientas estándar de gestión de Bluetooth.

Impacto

• Divulgación de información - Leer el búfer/estado de la impresora sin autorización
• Ejecución arbitraria de comandos - Inyectar comandos ESC/POS o TSPL para imprimir contenido arbitrario
• Denegación de servicio - Consumir papel, bloquear la interfaz de comandos o interrumpir el funcionamiento normal
• Puerta trasera persistente - El dispositivo sigue siendo explotable tras reinicios; la caché de emparejamiento no se puede limpiar con herramientas estándar

Clasificaciones de vulnerabilidad detectadas

Dispositivos afectados

Otras impresoras térmicas Bluetooth que utilizan estos chipsets también pueden estar afectadas.

Requisitos

Plataforma

• Linux (requiere la pila BlueZ)

Dependencias del sistema

• bluez - Pila de protocolos Bluetooth (hcitool, bluetoothctl, rfcomm, sdptool)

Instalación en Debian/Ubuntu:

sudo apt install bluez

Dependencias de Python

• Python 3
• colorama

pip install colorama

Hardware

• Adaptador Bluetooth (integrado o dongle USB)
• Debe estar dentro del alcance Bluetooth (~10 m) del dispositivo objetivo

Uso

ZeroPair requiere privilegios de root para las operaciones RFCOMM.

Objetivo único (con validación)

Realiza una validación completa de vulnerabilidad en 4 pasos antes de la explotación:

sudo python3 ZeroPair.py <MAC_ADDRESS>

sudo python3 ZeroPair.py 66:32:9E:2E:FD:94

Objetivo único (omitir validación)

Omite la validación e intenta la explotación directa:

sudo python3 ZeroPair.py <MAC_ADDRESS> --skip

Modo de escaneo automático (con validación)

Escanea todos los dispositivos Bluetooth, identifica impresoras, valida y explota:

sudo python3 ZeroPair.py --scan

Modo de escaneo automático (omitir validación)

El modo más rápido: escanea y explota sin validación:

sudo python3 ZeroPair.py --scan --skip

Argumentos

Cómo funciona

Cadena de explotación

1. Descubrimiento - El escaneo Bluetooth identifica impresoras térmicas por nombre de dispositivo
2. Validación (opcional) - Comprobación de vulnerabilidad en 4 etapas:
   • Visibilidad de emparejamiento en espacio de usuario mediante bluetoothctl
   • Identificación del adaptador Bluetooth local
   • Inspección de la caché de emparejamiento del sistema de archivos (/var/lib/bluetooth/)
   • Prueba de acceso RFCOMM no autenticado (crítico)
3. Descubrimiento de canal - Exploración SDP para encontrar el canal RFCOMM SPP
4. Conexión - Enlace RFCOMM al objetivo sin emparejamiento ni PIN
5. Inyección de comandos - Envío de payload ESC/POS o TSPL a la impresora
6. Salida física - La impresora produce un recibo/etiqueta como prueba de explotación

Por qué funciona

Las impresoras afectadas implementan una política de aceptación RFCOMM permisiva a nivel de firmware. El controlador Bluetooth no aplica autenticación ni cifrado para las conexiones SPP entrantes. Debido a que el estado de confianza se gestiona en el firmware y no en la pila Bluetooth del host (BlueZ), herramientas estándar como bluetoothctl no pueden detectar, inspeccionar ni revocar la confianza implícita. El dispositivo acepta silenciosamente conexiones de cualquier host Bluetooth sin interacción del usuario.

Ejemplo de salida

[*] single target mode (validation enabled)

[*] ==========================================================
[*] target: 66:32:9E:2E:FD:94 (X6h-A725)
[*] model: X6h-A725
[*] ==========================================================

[*] starting vulnerability validation...
[*] testing user-space pairing visibility [DONE]
[*] identifying local bluetooth adapter [DONE]
[*] checking filesystem pairing cache [DONE]
[*] testing RFCOMM unauthenticated access [DONE]

[!] VULNERABILITY CONFIRMED
    Type: ZERO AUTHENTICATION
    Severity: CRITICAL

[*] vulnerability details:
    [+] RFCOMM accessible: YES
    [+] BlueZ visible: NO
    [+] BlueZ paired: NO
    [+] Cache exists: NO

[+] target is exploitable - proceeding with attack

[*] discovering RFCOMM channels [channel 1]
[*] establishing RFCOMM connection [CONNECTED]
[*] injecting ESC/POS payload [SUCCESS]

[*] exploitation successful - check printer output!

[+] exploitation completed successfully

Aviso legal

Esta herramienta es únicamente para pruebas de seguridad autorizadas y fines educativos. El acceso no autorizado a sistemas informáticos es ilegal. El autor no asume ninguna responsabilidad y no se hace responsable de cualquier uso indebido o daño causado por esta herramienta. Úsala de forma responsable y solo en sistemas que poseas o para los que tengas permiso explícito de prueba.

Licencia

MIT