Voici quelques exemples d'utilisation :

• Lister tous les exploits disponibles (root non requis) :

  bluekit -l

• Lancer la reconnaissance :

  sudo bluekit -t AA:BB:CC:DD:EE:FF -r

• Tester la connectivité :

  sudo bluekit -t AA:BB:CC:DD:EE:FF -ct

• Tester un ou plusieurs exploits (séparés par des espaces) :

  sudo bluekit -t AA:BB:CC:DD:EE:FF -e invalid_max_slot au_rand_flooding internalblue_knob

Une documentation complémentaire est disponible dans notre wiki

Matériel

Certaines attaques nécessitent un matériel spécifique :

• ESP-WROVER-KIT-VE pour les vulnérabilités Braktooth
• Téléphone Nexus5 pour Internalblue. Il peut être remplacé par un CYW20735, mais deux exploits ne fonctionneront pas et un nouveau profil matériel serait nécessaire.
• CYW920819M2EVB-01 pour les attaques BIAS, BLUR et BLUFFS.

Vulnérabilités et attaques Bluetooth disponibles

BlueToolkit télécharge automatiquement tous les modèles de vulnérabilités et de matériel. Le dépôt BlueToolkit templates fournit une liste complète de modèles prêts à l'emploi. De plus, vous pouvez écrire vos propres modèles et vérifications, ainsi qu'ajouter du nouveau matériel, en suivant le guide de création de modèles de BlueToolkit. La syntaxe de référence YAML est disponible ici

Nous avons collecté et classifié les vulnérabilités Bluetooth dans une optique « Awesome Bluetooth Security ». Nous avons utilisé les sources suivantes - ACM, IEEE SP, Blackhat, DEFCON, Car Hacking Village, NDSS et Google Scholars. Nous avons recherché les mots-clés suivants dans les moteurs de recherche comme Google, Baidu, Yandex, Bing - Bluetooth security toolkit, Bluetooth exploits github, Bluetooth security framework, bluetooth pentesting toolkit. Nous avons également analysé tous les dépôts Github à partir des paramètres suivants - topic:bluetooth topic:exploit, topic:bluetooth topic:security.

Actuellement, BlueToolkit vérifie les vulnérabilités et attaques suivantes :

Pour les attaques manuelles, reportez-vous à la documentation.

Attaques inédites

Ces attaques sont inédites/nouvelles et sont testées par le framework

Vulnérabilités à ajouter prochainement

Liste des tâches à faire

• Ajouter la prise en charge du BLE (Bluetooth Low Energy)
  • Implémenter les fonctionnalités BLE pour améliorer les capacités de connectivité du projet.
• Développer (ou redévelopper) en continu des preuves de concept (PoC)
  • Développer de nouveaux PoC pour explorer des cas d'utilisation ou des fonctionnalités supplémentaires.

Vulnérabilités et attaques Bluetooth

En outre, nous avons trouvé les vulnérabilités Bluetooth Classic et Bluetooth Low Energy (BLE) suivantes. Le tableau fournit les informations suivantes sur les attaques et vulnérabilités - nom, type (spécifique à une implémentation, spécifique à un protocole ou affectant un profil BT), type Bluetooth (BLE, BT, BT + BLE), versions BT concernées, nombre d'exploits, année de publication, CVE si disponible, CVSS si disponible, matériel si requis, preuve de concept si disponible et des informations supplémentaires dans la section commentaires avec des liens ou des explications supplémentaires.| Famille Exp. | Nom | Type | BT Type | Version BT | Exp. n° | Année | CVE | CVSS | Matériel | PoC | Lien | Commentaire | | -------------- | ----------------------------------- | ----- | ---------- | ------------------ | --------------- | ---- | -------------------------------------------------------------------- | ---- | ------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------- | | | Qualcomm WSA8835 attck | Imp | BLE | | 1 | 2023 | | | | | https://www.cvedetails.com/cve/CVE-2023-21647/?q=CVE-2023-21647 | Vérification incorrecte des paquets GATT | | | Contournement d'authentification, usurpation | Imp | BLE | | 1 | 2022 | | | | | https://fmsh-seclab.github.io/ | Contournement d'authentification par usurpation dans les clés Tesla | | | MITM non authentifié | Prot | BLE | 4.0 - 5.3 | 1 | 2022 | | | | | https://www.cvedetails.com/cve/CVE-2022-25836/ | Voir la CVE pour plus de détails, repose sur Method Confusion | | | Relais d'authentification de proximité BLE | Rel | BLE | 4.0 - 5.3 | 1 | 2022 | | | | | https://research.nccgroup.com/2022/05/15/technical-advisory-tesla-ble-phone-as-a-key-passive-entry-vulnerable-to-relay-attacks/ | L'authentification de proximité BLE est vulnérable aux attaques par relais | | | Sniffle | Snif | BLE | 4.0-5.0 | 1 | 2022 | | | TI CC1352/CC26x2 | https://github.com/nccgroup/Sniffle | | | | | InjectaBLE | Prot | BLE | 4.0 - 5.2 | 1 | 2021 | | | nRF52840 | https://github.com/RCayre/injectable-firmware | https://hal.laas.fr/hal-03193297v2/document | MITM, envoi de paquets malveillants, post-exploitation après l'établissement/détournement de la session (Imp et spécifique au modèle) | | | jacknimble | Imp | BLE | | | 2020 | | | nRF52840 | https://github.com/darkmentorllc/jackbnimble | https://i.blackhat.com/USA-20/Wednesday/us-20-Kovah-Finding-New-Bluetooth-Low-Energy-Exploits-Via-Reverse-Engineering-Multiple-Vendors-Firmwares.pdf | 3 exploits pour du matériel spécifique, CVE-2020-15531 | | | SweynTooth | Imp | BLE | | 12 | 2020 | | | nRF52840 | https://github.com/Matheus-Garbelini/sweyntooth_bluetooth_low_energy_attacks | https://asset-group.github.io/disclosures/sweyntooth/ | | | | BlueDoor | Prot | BLE | 4.0 - 5.2 | 1 | 2020 | | | nRF51822 | | http://tns.thss.tsinghua.edu.cn/~jiliang/publications/MOBISYS2020_BlueDoor.pdf | MITM | | | Attaque par rétrogradation | Prot | BLE | 4.2 - 5.0 | 1 | 2020 | | | TICC2640 & Adafruit Bluefruit LE Sniffe | | https://www.usenix.org/system/files/sec20-zhang-yue.pdf | MITM via rétrogradation (SCO) CVE-2020-35473 | | | BLESA | Spoof | BLE | | 1 | 2020 | | | | | https://www.usenix.org/system/files/woot20-paper-wu.pdf | Usurpation pour établir un MITM et désactiver le chiffrement | | SweynTooth | Cypress PSoc 4 BLE | Imp | BLE | | 1 | 2019 | | | | | https://www.cvedetails.com/cve/CVE-2019-16336/?q=CVE-2019-16336 | DoS | | SweynTooth | Cypress PSoc 4 BLE | Imp | BLE | | 1 | 2019 | | | | | https://www.cvedetails.com/cve/CVE-2019-17061/?q=CVE-2019-17061 | Dépassement de tampon | | SweynTooth | NXP KW41Z jusqu'à 2.2.1 | Imp | BLE | | 1 | 2019 | | | | | https://www.cvedetails.com/cve/CVE-2019-17060/?q=CVE-2019-17060 | Dépassement de tampon de la couche liaison BLE | | SweynTooth | Pile BLE STMicroelectronics | Imp | BLE | | 1 | 2019 | | | | | https://www.cvedetails.com/cve/CVE-2019-19192/?q=CVE-2019-19192 | jusqu'à 1.3.1 pour les appareils STM32WB5x ne gère pas correctement les requêtes ATT consécutives à la réception | | | Application BLE colocalisée | | BLE | | 1 | 2019 | | | | Théorie | https://www.usenix.org/system/files/sec19-sivakumaran_0.pdf | Les applications colocalisées peuvent obtenir les données BLE et donc exfiltrer les informations nécessaires ??? peut-on faire un relais avec cela ? | | | BleedingBit | Imp | BLE | 4.2 - 5.0 | 1 | 2018 | | | | | https://www.armis.com/research/bleedingbit/ | | | | GATTacking | Prot | BLE | 4.0 | 1 | 2016 | | | dongle USB basé sur CSR 8510 | https://github.com/securing/gattacker | https://www.blackhat.com/docs/us-16/materials/us-16-Jasek-GATTacking-Bluetooth-Smart-Devices-Introducing-a-New-BLE-Proxy-Tool.pdf | MITM BLE | | | Crackle | Prot | BLE | 4 | 1 | 2013 | | | | https://github.com/mikeryan/crackle | https://www.usenix.org/system/files/conference/woot13/woot13-ryan.pdf | casser le chiffrement BLE | | Bluez | MynameIsKeyboard | Imp | BT | | 1 | 2023 | CVE-2023-45866 | 8.8 | | https://github.com/marcnewlin/hi_my_name_is_keyboard | - | CVE-2023-45866, CVE-2023-45866, CVE-2023-45866 | | Antonioli | BLUFFS | Prot | BT | 4.2-5.2 | 6 | 2023 | CVE-2023-24023 | 6.8 | CYW920819EVB-02 | https://github.com/francozappa/bluffs | | | | | - | Prot | BT | | 1 | 2022 | | | | | https://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=9833777 | Attaque d'accès illégal inter-piles (méthodes formelles) + CVE-2020-26560 et CVE-2020-15802 mentionnées dans d'autres entrées | | | BlackTooth | Prot | BT | | 1 | 2022 | | | CYW920819EVB-02 | | https://dl.acm.org/doi/pdf/10.1145/3548606.3560668 | 1 nouvelle attaque (étape de connexion) + KNOB et d'autres attaques réutilisées | | | BLAP | Prot | BT | | 1 | 2022 | | | | Théorie | https://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=9833575 | Extraire la Link Key du dump HCI nécessite un accès physique à la voiture (applicable uniquement en autopartage) | | | Blue's Clues | Prot | BT | <=5.3 | | 2022 | CVE-2022-24695 | 4.3 | Ubertooth & USRP B210 SDR | https://github.com/TylerTucker/BluesClues | https://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=10179358 | CVE-2022-24695 affecte la confidentialité, neutralise la fonctionnalité non-découvrable de BT/EDR | | | MITM non authentifié | Prot | BT | 1.0B-5.3 | 1 | 2022 | CVE-2022-25837 | 7.5 | | | https://www.cvedetails.com/cve/CVE-2022-25837/ | Voir la CVE pour plus de détails, repose sur Method Confusion, CVE-2022-25837 | | Braktooth | BrakTooth | Imp | BT | 3.0 - 5.2 | 16 | 2021 | CVE-2021-28139 | 8.8 | ESP-WROVER-KIT | https://github.com/Matheus-Garbelini/braktooth_esp32_bluetooth_classic_attacks | https://asset-group.github.io/disclosures/braktooth/ | | | | BleedingTooth BadChoice | Imp | BT | 4.2-5.2 | 1 | 2020 | CVE-2020-12352 | 6.5 | | https://github.com/google/security-research/security/advisories/GHSA-7mh3-gq28-gfrq | https://google.github.io/security-research/pocs/linux/bleedingtooth/writeup.html | Fuite d'informations | | | BleedingTooth BadKarma | Imp | BT | 5.0 | 1 | 2020 | CVE-2020-12351 | 8.8 | | https://github.com/google/security-research/security/advisories/GHSA-7mh3-gq28-gfrq | https://google.github.io/security-research/pocs/linux/bleedingtooth/writeup.html | fuite d'informations basée sur la pile BlueZ | | | BleedingTooth BadVibes | Imp | BT | 5.0+ | 1 | 2020 | CVE-2020-24490 | 6.5 | | https://github.com/google/security-research/security/advisories/GHSA-ccx2-w2r4-x649 | https://google.github.io/security-research/pocs/linux/bleedingtooth/writeup.html | Nécessite BT 5.0 et supérieur | | | CVE Snapdragon Auto | Imp | BT | | 4 | 2020 | | | | | https://www.cvedetails.com/cve/CVE-2020-3703/?q=CVE-2020-3703 | CVE-2020-11156 Snapdragon Auto, pas d'exploits CVE-2020-11154 CVE-2020-11155, CVE-2020-3703 | | | BlueRepli | Imp | BT | | 1 | 2020 | | | | Aucun exploit pour le moment | https://i.blackhat.com/USA-20/Wednesday/us-20-Xu-Stealthily-Access-Your-Android-Phones-Bypass-The-Bluetooth-Authentication.pdf | https://github.com/DasSecurity-HatLab/BlueRepli-Plus | | | UberTooth | Snif | BT | ALL | 1 | 2020 | | | Ubertooth | https://github.com/greatscottgadgets/ubertooth | https://ubertooth.readthedocs.io/en/latest/ | Sniffing | | Antonioli | BIAS | Prot | BT | <=5.0 | 4 | 2019 | CVE-2020-10135 | 5.4 | CYW920819, possibly CYW920819M2EVB-01 | https://github.com/francozappa/bias | https://francozappa.github.io/about-bias/ | CVE-2020-10135 | | | MITM SSP BT 5.0 | Prot | BT | 5 | 1 | 2018 | | | | | https://link.springer.com/article/10.1007/s00779-017-1081-6 | le modèle d'association par saisie de code PIN est vulnérable au MITM | | BlueBorne | CVE-2017-0785 | Imp | BT | | 1 | 2017 | CVE-2017-0785 | 6.5 | | | | | | BlueBorne | CVE-2017-1000251 | Imp | BT | 5 | 4 | 2017 | CVE-2017-1000251 | 8.0 | | https://github.com/ArmisSecurity/blueborne | https://www.armis.com/research/blueborne/ | | | | Dépassement de tas BT Lexus | Imp | BT | | 1 | 2017 | CVE-2020-5551 | 8.8 | | Théorie | https://keenlab.tencent.com/en/2020/03/30/Tencent-Keen-Security-Lab-Experimental-Security-Assessment-on-Lexus-Cars/ | RCE dans les Lexus (LC, LS, NX, RC, RC F), TOYOTA CAMRY et TOYOTA SIENNA fabriqués hors du Japon d'oct. 2016 à oct. 2019 | | | BlueEar | Snif | BT | ALL | 1 | 2016 | | | Ubertooth (2) | https://github.com/albazrqa/BluEar | https://www.cs.cityu.edu.hk/~jhuan9/papers/blueear16mobisys.pdf | Sniffing, extension du code d'Ubertooth | | | CVE-2018-19860 | Imp | BT | | 1 | 2014 | CVE-2018-19860 | 8.8 | Nexus 5 (internalblue) | exemples internalblue Nexus 5 | | Attaques spécifiques Imp. sur les puces Broadcom BCM4335C0, BCM43438A1 et quelques autres de 2012-2014 (DoS) | | | Attaque MITM NINO | Prot | BT | | 2 | 2010 | | | Nexus 5 (internalblue) | Théorie + un PoC d'internalblue + exploit simple similaire à la confusion de méthode | https://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=5374082 | NINO - pas d'entrée pas de sortie (attaques mitm + mitm hors bande). https://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=4401672 | | | Attaques sur l'appairage | Prot | BT | 2.1 | 1 | 2008 | | | | | https://citeseerx.ist.psu.edu/document?repid=rep1&type=pdf&doi=ac095564c820f02b2793694018d419ce99279de0 | MITM, attaque sur 2.1 | | | Craquage du code PIN Bluetooth | Brute | BT | | 1 | 2005 | | | | Théorie | https://www.usenix.org/legacy/event/mobisys05/tech/full_papers/shaked/shaked.pdf | 6 | | | Extraction de clé | | BT | 1.0B | 1 | 2001 | | | | | https://link.springer.com/chapter/10.1007/3-540-45353-9_14 | Ancienne attaque sur une très ancienne version 1.0B | | | BadBluetooth | Prot | BT + adj | | 1 | 2019 | | | | Théorie | https://staff.ie.cuhk.edu.hk/~khzhang/my-papers/2019-ndss-bluetooth.pdf | Hypothèses trop fortes (application malveillante installée + appareil compromis) | | BlueMirror | BlueMirror profil BT Mesh par force brute | Prot | BT Profile | 2.1-5.2 | 1 | 2021 | CVE-2020-26556 | 7.5 | | | | Force brute sur l'AuthValue aléatoire insuffisante dans BT Mesh 1.0 et 1.0.1 pour terminer l'authentification | | BlueMirror | BlueMirror profil BT Mesh par force brute 2 | Prot | BT Profile | 2.1-5.2 | 1 | 2021 | CVE-2020-26557 | 7.5 | | | | Déterminer l'AuthValue dans BT Mesh 1.0 et 1.0.1 via une attaque par force brute | | BlueMirror | BlueMirror profil BT Mesh sans force brute | Prot | BT Profile | 2.1-5.2 | 1 | 2021 | CVE-2020-26559 | 8.8 | | | | Contournement d'authentification dans le profil Mesh 1.0, 1.0.1, peut déterminer l'authvalue et d'autres données sans force brute | | BlueMirror | BlueMirror profil BT Mesh | Prot | BT Profile | 1.0B-5.2 | 1 | 2020 | CVE-2020-26560 | 8.1 | | | https://kb.cert.org/vuls/id/799380 | CVE-2020-26560 - Contournement d'authentification dans le profil Mesh 1.0, 1.0.1 https://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=9474325 | | BlueMirror | BlueMirror appairage hérité | Prot | BT/BLE | 2.1-5.2 | 1 | 2021 | CVE-2020-26555 | 5.4 | | | https://kb.cert.org/vuls/id/799380 | Terminer l'appairage sans connaître le PIN https://ieeexplore.ieee.org/stamp/stamp.jsp?tp=&arnumber=9474325 https://www.ieee-security.org/TC/SP2021/SPW2021/WOOT21/files/woot21-claverie-slides.pdf | | BlueMirror | BlueMirror fuite de passkey | Prot | BT/BLE | 2.1-5.2 | 1 | 2021 | CVE-2020-26558 | 4.2 | | | | Un attaquant MitM peut déterminer la valeur du passkey par réflexion de la clé publique (peut divulguer la valeur du passkey 1 bit à la fois) | | Antonioli | BLURTooth | Prot | BT/BLE | 4.2, 5.0, 5.1, 5.2 | 4 | 2020 | CVE-2020-15802 | 5.9 | | https://github.com/francozappa/blur | https://hexhive.epfl.ch/BLURtooth/ | CVE-2020-15802 | | | Fixed Coord. Inv. Attack | Imp | BT/BLE | 2.1-5.2 | 1 | 2019 | CVE-2018-5383 | | Nexus 5 (internalblue) or CY5677 | exemples internalblue Nexus 5 | https://biham.cs.technion.ac.il/BT/ | MITM exploitant la crypto (attaque d'implémentation/protocole) CVE-2018-5383 | | Antonioli | KNOB | Prot | BT/BLE | <=5.0 | 1 | 2019 | CVE-2019-9506 | 8.1 | Nexus 5 (internalblue) | https://github.com/francozappa/knob | https://knobattack.com/ | CVE-2019-9506 | | | Attaque fantôme | Prot | BT/BLE? | | 2 | 2023 | | | | | https://www.ndss-symposium.org/wp-content/uploads/2023/02/ndss2023_s119_paper.pdf | Attaque fantôme et attaque par devinette de groupe | | | Qualcomm 9206 | Imp | BT/BLE? | | 1 | 2022 | CVE-2022-40503 | 8.2 | | | https://www.cvedetails.com/cve/CVE-2022-40503/?q=CVE-2022-40503 | Lecture hors limites du tampon dans le profil A2DP | | | Qualcomm APQ8009 | Imp | BT/BLE? | | 1 | 2022 | CVE-2022-40537 | 7.3 | | | https://www.cvedetails.com/cve/CVE-2022-40537/?q=CVE-2022-40537 | Corruption de mémoire lors du traitement de la réponse AVRCP AVRC_PDU_GET_PLAYER_APP_VALUE_TEXT | | | Qualcomm WSA8815 | Imp | BT/BLE? | | 1 | 2022 | CVE-2022-33280 | 7.3 | | | https://www.cvedetails.com/cve/CVE-2022-33280/?q=CVE-2022-33280 | Corruption de mémoire lors du traitement d'un paquet AVRCP | | | Qualcomm WSA8835 | Imp | BT/BLE? | | 1 | 2022 | CVE-2022-33255 | 8.2 | | | https://www.cvedetails.com/cve/CVE-2022-33255/?q=CVE-2022-33255 | Lecture hors limites du tampon HOST Bluetooth lors du traitement de GetFolderItems, GetItemAttributes | | | Qualcomm WSA8835 | Imp | BT/BLE? | | 1 | 2022 | CVE-2022-22088 | 9.8 | | | https://www.cvedetails.com/cve/CVE-2022-22088/?q=CVE-2022-22088 | Dépassement de tampon de l'hôte Bluetooth lors du traitement d'une réponse distante | | | SnapDragon Auto | Imp | BT/BLE? | | 1 | 2021 | CVE-2021-35068 | 9.8 | | | https://www.cvedetails.com/cve/CVE-2021-35068/?q=CVE-2021-35068 | Déréférencement d'un pointeur nul lors de la libération du profil HFP | | | Method Confusion | Prot | BT/BLE? | 2.1-5.2 | 1 | 2020 | CVE-2020-10134 | 6.3 | grande sélection avec différentes capacités. | https://github.com/maxdos64/BThack | https://www.sec.in.tum.de/i20/publications/method-confusion-attack-on-bluetooth-pairing/@@download/file/conference-proceeding.pdf | MITM entre 2 appareils BLE ou BR/EDR. Matériel particulier nécessaire, CVE-2020-10134 | | | BlueSnarf revisité | Imp | OBEX | | 1 | 2011 | | | | | https://inria.hal.science/hal-01587858/document | Traversée de chemin OBEX (FTP) |La syntaxe de référence du DSL YAML est disponible ici.

Licence

Badge :

BlueToolkit est sous licence Creative Commons Attribution-NonCommercial-ShareAlike 4.0 International License.

Pour toute demande, contactez-nous à https://linktr.ee/schwytz