ZeroPair

Exploit Bluetooth a Autenticazione Zero

"Rubi la Stampante, Possiedi il Sistema"

███████╗███████╗██████╗  ██████╗
╚══███╔╝██╔════╝██╔══██╗██╔═══██╗
  ███╔╝ █████╗  ██████╔╝██║   ██║
 ███╔╝  ██╔══╝  ██╔══██╗██║   ██║
███████╗███████╗██║  ██║╚██████╔╝
╚══════╝╚══════╝╚═╝  ╚═╝ ╚═════╝
    ██████╗  █████╗ ██╗██████╗
    ██╔══██╗██╔══██╗██║██╔══██╗
    ██████╔╝███████║██║██████╔╝
    ██╔═══╝ ██╔══██║██║██╔══██╗
    ██║     ██║  ██║██║██║  ██║
    ╚═╝     ╚═╝  ╚═╝╚═╝╚═╝  ╚═╝

Autore: [CBKB] DeadlyData | 2026

ZeroPair è uno strumento proof-of-concept che dimostra una vulnerabilità a autenticazione zero nelle stampanti termiche abilitate Bluetooth che utilizzano chipset Jieli e Barrot. I dispositivi interessati accettano connessioni RFCOMM non autenticate senza richiedere l'abbinamento o l'interazione dell'utente, consentendo a un attaccante nel raggio Bluetooth di accedere all'interfaccia di comando della stampante.

CVE: Inviato a MITRE (assegnazione in sospeso)

Proof of Concept

Riepilogo della Vulnerabilità

Le stampanti termiche abilitate Bluetooth che utilizzano chipset Bluetooth Jieli e Barrot contengono una vulnerabilità di bypass dell'autenticazione nel servizio RFCOMM (SPP). A causa di un controllo degli accessi improprio implementato nel firmware, i dispositivi interessati accettano connessioni RFCOMM non autenticate senza richiedere l'abbinamento o l'interazione dell'utente. La vulnerabilità risiede in uno stato di fiducia nascosto nel firmware che non può essere ispezionato o rimosso utilizzando i normali strumenti di gestione Bluetooth.

Impatto

• Divulgazione di informazioni - Leggere il buffer/stato della stampante senza autorizzazione
• Esecuzione arbitraria di comandi - Iniettare comandi ESC/POS o TSPL per stampare contenuti arbitrari
• Denial of Service - Consumare carta, bloccare l'interfaccia di comando o interrompere il normale funzionamento
• Backdoor persistente - Il dispositivo rimane sfruttabile dopo i riavvii; la cache di abbinamento non può essere cancellata con gli strumenti standard

Classificazioni di Vulnerabilità Rilevate

Dispositivi Interessati

Anche altre stampanti termiche Bluetooth che utilizzano questi chipset potrebbero essere interessate.

Requisiti

Piattaforma

• Linux (richiede lo stack BlueZ)

Dipendenze di Sistema

• bluez - Stack del protocollo Bluetooth (hcitool, bluetoothctl, rfcomm, sdptool)

Installazione su Debian/Ubuntu:

sudo apt install bluez

Dipendenze Python

• Python 3
• colorama

pip install colorama

Hardware

• Adattatore Bluetooth (integrato o chiavetta USB)
• Deve trovarsi nel raggio Bluetooth (~10 m) del dispositivo target

Utilizzo

ZeroPair richiede privilegi di root per le operazioni RFCOMM.

Target Singolo (con validazione)

Esegue una validazione completa della vulnerabilità in 4 fasi prima dello sfruttamento:

sudo python3 ZeroPair.py <MAC_ADDRESS>

sudo python3 ZeroPair.py 66:32:9E:2E:FD:94

Target Singolo (salta validazione)

Salta la validazione e tenta lo sfruttamento diretto:

sudo python3 ZeroPair.py <MAC_ADDRESS> --skip

Modalità Scansione Automatica (con validazione)

Esegue la scansione di tutti i dispositivi Bluetooth, identifica le stampanti, valida e sfrutta:

sudo python3 ZeroPair.py --scan

Modalità Scansione Automatica (salta validazione)

Modalità più veloce - esegue la scansione e sfrutta senza validazione:

sudo python3 ZeroPair.py --scan --skip

Argomenti

Come Funziona

Catena di Sfruttamento

1. Scoperta - La scansione Bluetooth identifica le stampanti termiche tramite il nome del dispositivo
2. Validazione (opzionale) - Controllo della vulnerabilità in 4 fasi:
   • Visibilità dell'abbinamento nello spazio utente tramite bluetoothctl
   • Identificazione dell'adattatore Bluetooth locale
   • Ispezione della cache di abbinamento del filesystem (/var/lib/bluetooth/)
   • Test di accesso RFCOMM non autenticato (critico)
3. Scoperta del Canale - SDP browse per trovare il canale RFCOMM SPP
4. Connessione - RFCOMM bind al target senza abbinamento o PIN
5. Iniezione di Comandi - Payload ESC/POS o TSPL inviato alla stampante
6. Output Fisico - La stampante produce una ricevuta/etichetta come prova dello sfruttamento

Perché Funziona

Le stampanti interessate implementano una politica di accettazione RFCOMM permissiva a livello di firmware. Il controller Bluetooth non applica autenticazione o crittografia per le connessioni SPP in entrata. Poiché lo stato di fiducia è gestito nel firmware piuttosto che dallo stack Bluetooth host (BlueZ), strumenti standard come bluetoothctl non possono rilevare, ispezionare o revocare la fiducia implicita. Il dispositivo accetta silenziosamente connessioni da qualsiasi host Bluetooth senza interazione dell'utente.

Esempio di Output

[*] single target mode (validation enabled)

[*] ==========================================================
[*] target: 66:32:9E:2E:FD:94 (X6h-A725)
[*] model: X6h-A725
[*] ==========================================================

[*] starting vulnerability validation...
[*] testing user-space pairing visibility [DONE]
[*] identifying local bluetooth adapter [DONE]
[*] checking filesystem pairing cache [DONE]
[*] testing RFCOMM unauthenticated access [DONE]

[!] VULNERABILITY CONFIRMED
    Type: ZERO AUTHENTICATION
    Severity: CRITICAL

[*] vulnerability details:
    [+] RFCOMM accessible: YES
    [+] BlueZ visible: NO
    [+] BlueZ paired: NO
    [+] Cache exists: NO

[+] target is exploitable - proceeding with attack

[*] discovering RFCOMM channels [channel 1]
[*] establishing RFCOMM connection [CONNECTED]
[*] injecting ESC/POS payload [SUCCESS]

[*] exploitation successful - check printer output!

[+] exploitation completed successfully

Disclaimer

Questo strumento è destinato esclusivamente a test di sicurezza autorizzati e scopi educativi. L'accesso non autorizzato a sistemi informatici è illegale. L'autore non si assume alcuna responsabilità e non è responsabile di qualsiasi uso improprio o danno causato da questo strumento. Utilizza in modo responsabile e solo su sistemi di tua proprietà o per cui hai esplicita autorizzazione al test.

Licenza

MIT