ZeroPair

ゼロ認証Bluetoothエクスプロイト

"プリントを盗め、システムを掌握せよ"

███████╗███████╗██████╗  ██████╗
╚══███╔╝██╔════╝██╔══██╗██╔═══██╗
  ███╔╝ █████╗  ██████╔╝██║   ██║
 ███╔╝  ██╔══╝  ██╔══██╗██║   ██║
███████╗███████╗██║  ██║╚██████╔╝
╚══════╝╚══════╝╚═╝  ╚═╝ ╚═════╝
    ██████╗  █████╗ ██╗██████╗
    ██╔══██╗██╔══██╗██║██╔══██╗
    ██████╔╝███████║██║██████╔╝
    ██╔═══╝ ██╔══██║██║██╔══██╗
    ██║     ██║  ██║██║██║  ██║
    ╚═╝     ╚═╝  ╚═╝╚═╝╚═╝  ╚═╝

作成者: [CBKB] DeadlyData | 2026

ZeroPairは、JieliおよびBarrotチップセットを搭載したBluetooth対応サーマルプリンタにおけるゼロ認証の脆弱性を実証する概念実証ツールです。影響を受けるデバイスは、ペアリングやユーザーの操作を必要とせずに、認証なしのRFCOMM接続を受け入れます。そのため、Bluetooth圏内にいる攻撃者がプリンタのコマンドインターフェースにアクセスできます。

CVE: MITREに提出済み（割り当て保留中）

概念実証

脆弱性の概要

JieliおよびBarrot Bluetoothチップセットを搭載したBluetooth対応サーマルプリンタには、RFCOMM（SPP）サービスにおける認証バイパスの脆弱性があります。ファームウェアに実装された不適切なアクセス制御により、影響を受けるデバイスは、ペアリングやユーザーの操作を必要とせずに、認証なしのRFCOMM接続を受け入れます。この脆弱性は、標準のBluetooth管理ツールでは検査も削除もできない隠れたファームウェア信頼状態に存在します。

影響

• 情報漏えい - 許可なくプリンタのバッファ/ステータスを読み取る
• 任意コマンド実行 - ESC/POSまたはTSPLコマンドを注入して任意の内容を印刷する
• サービス拒否 - 用紙を消費、コマンドインターフェースをロック、または通常の動作を妨害する
• 永続的バックドア - デバイスは再起動後も悪用可能な状態が続き、標準ツールではペアリングキャッシュをクリアできない

検出された脆弱性分類

影響を受けるデバイス

これらのチップセットを使用する他のBluetoothサーマルプリンタも影響を受ける可能性があります。

必要条件

プラットフォーム

• Linux（BlueZスタックが必要）

システム依存パッケージ

• bluez - Bluetoothプロトコルスタック（hcitool、bluetoothctl、rfcomm、sdptool）

Debian/Ubuntuでのインストール:

sudo apt install bluez

Python依存パッケージ

• Python 3
• colorama

pip install colorama

ハードウェア

• Bluetoothアダプタ（内蔵またはUSBドングル）
• 対象デバイスのBluetooth圏内（約10m）にいる必要があります

使用方法

ZeroPairはRFCOMM操作にroot権限が必要です。

単一ターゲット（検証あり）

悪用前に4段階の脆弱性検証を実行します:

sudo python3 ZeroPair.py <MAC_ADDRESS>

sudo python3 ZeroPair.py 66:32:9E:2E:FD:94

単一ターゲット（検証スキップ）

検証をスキップして直接悪用を試みます:

sudo python3 ZeroPair.py <MAC_ADDRESS> --skip

自動スキャンモード（検証あり）

すべてのBluetoothデバイスをスキャンし、プリンタを特定して検証・悪用します:

sudo python3 ZeroPair.py --scan

自動スキャンモード（検証スキップ）

最速モード - 検証なしでスキャンして悪用します:

sudo python3 ZeroPair.py --scan --skip

引数

動作原理

悪用チェーン

1. 発見 - Bluetoothスキャンでデバイス名からサーマルプリンタを特定
2. 検証（任意） - 4段階の脆弱性チェック:
   • bluetoothctlによるユーザー空間のペアリング可視性
   • ローカルBluetoothアダプタの識別
   • ファイルシステムのペアリングキャッシュ検査（/var/lib/bluetooth/）
   • RFCOMM非認証アクセステスト（重要）
3. チャネル発見 - SDPブラウズでRFCOMM SPPチャネルを探索
4. 接続 - ペアリングやPINなしでRFCOMMバインドを実行
5. コマンド注入 - ESC/POSまたはTSPLペイロードをプリンタに送信
6. 物理的出力 - プリンタが悪用の証拠としてレシート/ラベルを出力

なぜ機能するのか

影響を受けるプリンタは、ファームウェアレベルで寛容なRFCOMM受け入れポリシーを実装しています。Bluetoothコントローラは、受信SPP接続に対して認証や暗号化を強制しません。信頼状態はホストのBluetoothスタック（BlueZ）ではなくファームウェアで管理されているため、bluetoothctlなどの標準ツールでは暗黙の信頼を検出、検査、または取り消すことができません。デバイスはユーザーの操作なしに、任意のBluetoothホストからの接続を黙って受け入れます。

出力例

[*] single target mode (validation enabled)

[*] ==========================================================
[*] target: 66:32:9E:2E:FD:94 (X6h-A725)
[*] model: X6h-A725
[*] ==========================================================

[*] starting vulnerability validation...
[*] testing user-space pairing visibility [DONE]
[*] identifying local bluetooth adapter [DONE]
[*] checking filesystem pairing cache [DONE]
[*] testing RFCOMM unauthenticated access [DONE]

[!] VULNERABILITY CONFIRMED
    Type: ZERO AUTHENTICATION
    Severity: CRITICAL

[*] vulnerability details:
    [+] RFCOMM accessible: YES
    [+] BlueZ visible: NO
    [+] BlueZ paired: NO
    [+] Cache exists: NO

[+] target is exploitable - proceeding with attack

[*] discovering RFCOMM channels [channel 1]
[*] establishing RFCOMM connection [CONNECTED]
[*] injecting ESC/POS payload [SUCCESS]

[*] exploitation successful - check printer output!

[+] exploitation completed successfully

免責事項

このツールは許可されたセキュリティテストおよび教育目的のみを対象としています。コンピュータシステムへの不正アクセスは違法です。作者は一切の責任を負わず、このツールによって引き起こされた誤用や損害について責任を負いません。責任を持って、所有しているシステムまたは明示的な許可を得たシステムに対してのみ使用してください。

ライセンス

MIT