Acerca de

POC para la vulnerabilidad CVE-2025-36911 WhisperPair, que permite conectarse a dispositivos compatibles sin información de autenticación.

Este firmware solo realiza la detección y la confirmación de la vulnerabilidad y no implementa la escucha de audio completa.

Salida durante las pruebas:

• MAC de prueba: usará la MAC del propio ESP y la MAC del dispositivo que se está probando para intentar el emparejamiento.
• Ver si el dispositivo expone la clave si se le pide amablemente: Exponer clave mediante lectura; transmitir clave en anuncios.
• Aceptar clave incorrecta: intentar enviar una clave de seguridad aleatoria.

Probado en dispositivo: Freenove ESP32-S3 ESP32 S3 Display CYD 2.8 Inch IPS Capacitive Touch Screen 240x320 Pixel

Vídeo

Acerca del dispositivo

Puedes usar un dispositivo ESP32 para localizar dispositivos compatibles con Fast Pair y comprobar la vulnerabilidad.

Compañía

¿Interesado en pruebas de penetración y dispositivos de seguridad? Visita

https://pivotchip.ca

Lógica principal y protocolo

1. Descubrimiento y filtrado

El escáner (BleManager) omite el descubrimiento estándar para analizar paquetes de anuncios sin procesar en busca de cargas útiles de GFPS.

• Fast Pair: UUID del servicio 0xFE2C.
• Nearby: UUID del servicio 0xFEF3.
• Extracción del ID de modelo: Analiza el ID de modelo de 3 bytes de los datos de servicio para rastrear dispositivos a través de rotaciones de direcciones MAC.

2. Gestión de estado (deduplicación)

Para manejar dispositivos BLE con privacidad habilitada que rotan direcciones MAC, el sistema utiliza una comprobación de identidad por niveles.

1. Coincidencia de MAC: Comprueba la igualdad estricta de direcciones sin procesar.
2. Coincidencia de identidad: Si la MAC difiere, correlaciona mediante Model ID o Device Name.
3. Intercambio en caliente: Actualiza la dirección MAC almacenada en tiempo real cuando una identidad conocida transmite desde una nueva dirección, evitando fallos de conexión durante las pruebas.

3. Explotación del handshake KBP

La función testDevice ejecuta un handshake GFPS sin procesar para probar la aceptación de emparejamiento no autorizado.

1. Conexión: Establece una conexión GATT con un tiempo de espera de 8 segundos.
2. Resolución de servicios: Localiza el servicio Fast Pair (0xFE2C) y la característica KBP (fe2c1234-8366-4814-8eb0-01de32100bea).
3. Construcción de la carga útil:
   • Genera un bloque de 16 bytes: [Type: 0x00] [Flags: 0x11] [Provider Address] [Salt: 8 bytes].
   • Cifrado: Cifra el bloque usando mbedtls_aes_crypt_ecb con la Salt como clave.
4. Verificación:
   • Escribe el paquete cifrado en la característica KBP.
   • Escucha una respuesta de Notificación.
   • Vulnerable: El dispositivo envía una notificación (aceptando el handshake).
   • Seguro: El dispositivo permanece en silencio o se desconecta.

Configuración del hardware (config.h)

Diseñado para ESP32 con táctil FT6336U y pantallas TFT_eSPI.

Compilar y flashear

1. Dependencias:
   • NimBLE-Arduino (2.3.7)
   • TFT_eSPI (Pantalla)
   • FT6336U (Entrada)
2. Esquema de particiones: Selecciona "Huge APP (3MB No OTA)" para acomodar la pila BLE.
3. Configuración de TFT: Configura User_Setup.h en la librería TFT_eSPI para que coincida con el controlador ILI9341/ST7789 de tu placa específica.

o descarga las librerías de Freenove y colócalas en tu carpeta de librerías de Arduino.

https://codeload.github.com/Freenove/Freenove_ESP32_S3_Display/zip/refs/heads/main

Uso

• Escaneo: Alterna SCAN para completar la lista.
• Selección de objetivo: Toca una entrada para iniciar la prueba WhisperPair.