Informazioni

POC per CVE-2025-36911 vulnerabilità WhisperPair, che consente di connettersi a dispositivi supportati senza informazioni di autenticazione.

Questo firmware esegue solo discovery e conferma della vulnerabilità e non implementa l'ascolto audio completo.

Output durante i test:

• Mac di test: utilizzerà il Mac proprio dell'ESP e il Mac del dispositivo che stai testando per tentare l'associazione.
• Verifica se il dispositivo espone la chiave se la chiedi gentilmente: Espone la chiave tramite Read; trasmette la chiave negli Ads.
• Accetta chiave errata: tenta di inviare una chiave di sicurezza casuale.

Testato su dispositivo: Freenove ESP32-S3 ESP32 S3 Display CYD 2.8 Inch IPS Capacitive Touch Screen 240x320 Pixel

Video

Informazioni sul Dispositivo

Puoi usare un dispositivo ESP32 per rintracciare dispositivi che supportano Fast Pair e verificarne la vulnerabilità.

Azienda

Sei interessato a penetration testing e dispositivi di sicurezza? Visita

https://pivotchip.ca

Logica Principale e Protocollo

1. Discovery e Filtraggio

Lo scanner (BleManager) bypassa il discovery standard per analizzare i pacchetti advertisement grezzi alla ricerca di payload GFPS

• Fast Pair: Service UUID 0xFE2C.
• Nearby: Service UUID 0xFEF3.
• Estrazione Model ID: Analizza il Model ID a 3 byte dai Service Data per tracciare i dispositivi attraverso le rotazioni degli indirizzi MAC.

2. Gestione dello Stato (Deduplicazione)

Per gestire i dispositivi BLE con privacy che ruotano gli indirizzi MAC, il sistema utilizza un controllo di identità a livelli

1. Corrispondenza MAC: Verifica la stretta uguaglianza dell'indirizzo grezzo.
2. Corrispondenza Identità: Se il MAC differisce, correla tramite Model ID o Device Name.
3. Hot-Swap: Aggiorna in tempo reale l'indirizzo MAC memorizzato quando un'identità nota trasmette da un nuovo indirizzo, prevenendo errori di connessione durante i test.

3. Sfruttamento dell'Handshake KBP

La funzione testDevice esegue un handshake GFPS grezzo per testare l'accettazione non autorizzata dell'associazione

1. Connessione: Stabilisce una connessione GATT con un timeout di 8 secondi.
2. Risoluzione del servizio: Individua il Fast Pair Service (0xFE2C) e la caratteristica KBP (fe2c1234-8366-4814-8eb0-01de32100bea).
3. Costruzione del payload:
   • Genera un blocco di 16 byte: [Type: 0x00] [Flags: 0x11] [Provider Address] [Salt: 8 byte].
   • Cifratura: Cifra il blocco usando mbedtls_aes_crypt_ecb con il Salt come chiave.
4. Verifica:
   • Scrive il pacchetto cifrato sulla caratteristica KBP.
   • Ascolta una risposta Notification.
   • Vulnerabile: Il dispositivo invia una notifica (accettando l'handshake).
   • Sicuro: Il dispositivo rimane in silenzio o si disconnette.

Configurazione Hardware (config.h)

Progettato per ESP32 con touch FT6336U e display TFT_eSPI.

Compilazione e Flash

1. Dipendenze:
   • NimBLE-Arduino (2.3.7)
   • TFT_eSPI (Display)
   • FT6336U (Input)
2. Schema delle partizioni: Seleziona "Huge APP (3MB No OTA)" per ospitare lo stack BLE.
3. Configurazione TFT: Configura User_Setup.h nella libreria TFT_eSPI per abbinare il driver ILI9341/ST7789 alla tua scheda specifica.

oppure scarica le librerie da Freenove e inseriscile nella cartella Librerie di Arduino

https://codeload.github.com/Freenove/Freenove_ESP32_S3_Display/zip/refs/heads/main

Utilizzo

• Scansione: Attiva SCAN per popolare la lista.
• Selezione del target: Tocca una voce per avviare il test WhisperPair.