À propos

POC pour la vulnérabilité CVE-2025-36911 WhisperPair, vous permettant de vous connecter à des appareils pris en charge sans aucune information d'authentification.

Ce firmware effectue uniquement la découverte et la confirmation de la vulnérabilité et n'implémente pas l'écoute audio complète.

Sortie lors des tests :

• Testing Mac : utilisera le propre Mac de l'ESP et le Mac de l'appareil que vous testez pour tenter de s'appairer.
• Voir si l'appareil expose la clé si vous demandez gentiment : Exposer la clé via Lecture ; Diffuser la clé dans les annonces.
• Accepter une clé erronée : essayer d'envoyer une clé de sécurité aléatoire.

Testé sur l'appareil : Freenove ESP32-S3 ESP32 S3 Display CYD 2.8 Inch IPS Capacitive Touch Screen 240x320 Pixel

Vidéo

À propos de l'appareil

Vous pouvez utiliser un appareil ESP32 pour traquer les appareils prenant en charge Fast Pair et vérifier la vulnérabilité.

Société

Intéressé par le test de pénétration et les dispositifs de sécurité ? Visitez

https://pivotchip.ca

Logique et protocole principaux

1. Découverte et filtrage

Le scanner (BleManager) contourne la découverte standard pour analyser les paquets publicitaires bruts à la recherche de charges utiles GFPS.

• Fast Pair : UUID de service 0xFE2C.
• Nearby : UUID de service 0xFEF3.
• Extraction de l'ID de modèle : analyse l'ID de modèle de 3 octets à partir des données de service pour suivre les appareils à travers les rotations d'adresses MAC.

2. Gestion d'état (Déduplication)

Pour gérer les appareils BLE avec confidentialité qui font tourner les adresses MAC, le système utilise une vérification d'identité à plusieurs niveaux :

1. Correspondance MAC : vérifie l'égalité stricte des adresses brutes.
2. Correspondance d'identité : si le MAC diffère, corrèle via Model ID ou Device Name.
3. Échange à chaud : met à jour l'adresse MAC stockée en temps réel lorsqu'une identité connue diffuse depuis une nouvelle adresse, empêchant les échecs de connexion pendant les tests.

3. Exploitation de la poignée de main KBP

La fonction testDevice exécute une poignée de main GFPS brute pour tester l'acceptation d'appairage non autorisé.

1. Connexion : établit une connexion GATT avec un délai d'expiration de 8 secondes.
2. Résolution du service : localise le service Fast Pair (0xFE2C) et la caractéristique KBP (fe2c1234-8366-4814-8eb0-01de32100bea).
3. Construction de la charge utile :
   • Génère un bloc de 16 octets : [Type: 0x00] [Flags: 0x11] [Provider Address] [Salt: 8 bytes].
   • Chiffrement : chiffre le bloc en utilisant mbedtls_aes_crypt_ecb avec le Salt comme clé.
4. Vérification :
   • Écrit le paquet chiffré sur la caractéristique KBP.
   • Écoute une réponse de Notification.
   • Vulnérable : l'appareil envoie une notification (acceptant la poignée de main).
   • Sûr : l'appareil reste silencieux ou se déconnecte.

Configuration matérielle (config.h)

Conçu pour ESP32 avec écran tactile FT6336U et affichages TFT_eSPI.

Construction et flash

1. Dépendances :
   • NimBLE-Arduino (2.3.7)
   • TFT_eSPI (Affichage)
   • FT6336U (Entrée)
2. Schéma de partition : sélectionnez « Huge APP (3MB No OTA) » pour prendre en charge la pile BLE.
3. Configuration TFT : configurez User_Setup.h dans la bibliothèque TFT_eSPI pour correspondre au pilote ILI9341/ST7789 de votre carte spécifique.

ou téléchargez les bibliothèques depuis Freenove et placez-les dans votre dossier de bibliothèques Arduino

https://codeload.github.com/Freenove/Freenove_ESP32_S3_Display/zip/refs/heads/main

Utilisation

• Scan : basculez SCAN pour remplir la liste.
• Ciblage : appuyez sur une entrée pour lancer le test WhisperPair.