概要

CVE-2025-36911 WhisperPair脆弱性のPOCです。認証情報なしで対応デバイスに接続できます。

このファームウェアは、発見と脆弱性の確認のみを行い、完全な音声リスニングは実装していません。

テスト中の出力：

• Testing Mac: 自分のESPのMacとテスト対象デバイスのMacを使用してペアリングを試みます。
• 素直に尋ねるとデバイスがキーを公開するか確認： 読み取りでキーを公開、広告でキーをブロードキャスト。
• 間違ったキーを受け入れる： ランダムなセキュリティキーを送信してみます。

テストしたデバイス： Freenove ESP32-S3 ESP32 S3 Display CYD 2.8インチIPS静電容量タッチスクリーン 240x320ピクセル

Video

デバイスについて

ESP32デバイスを使用して、Fast Pairをサポートするデバイスを追跡し、脆弱性を確認できます。

会社

ペネトレーションテストやセキュリティデバイスに興味がありますか？ こちらをご覧ください：

https://pivotchip.ca

コアロジックとプロトコル

1. 発見とフィルタリング

スキャナー（BleManager）は標準的な発見を迂回し、GFPSペイロードの生のアドバタイズメントパケットを解析します。

• Fast Pair: サービスUUID 0xFE2C。
• Nearby: サービスUUID 0xFEF3。
• モデルID抽出： サービスデータから3バイトのモデルIDを解析し、MACアドレスのローテーションを越えてデバイスを追跡します。

2. 状態管理（重複排除）

MACアドレスをローテーションするプライバシー対応BLEデバイスを処理するために、システムは階層的なIDチェックを使用します。

1. MAC一致： 厳密な生アドレスの一致をチェックします。
2. ID一致： MACが異なる場合は、モデルIDまたはデバイス名で関連付けます。
3. ホットスワップ： 既知のIDが新しいアドレスからブロードキャストされたときに、保存されたMACアドレスをリアルタイムで更新し、テスト中の接続失敗を防ぎます。

3. KBPハンドシェイクの悪用

testDevice関数は、未承認のペアリング受け入れをテストするために、生のGFPSハンドシェイクを実行します。

1. 接続： 8秒のタイムアウトでGATT接続を確立します。
2. サービス解決： Fast Pairサービス（0xFE2C）とKBP特性（fe2c1234-8366-4814-8eb0-01de32100bea）を見つけます。
3. ペイロード構築：
   • 16バイトのブロックを生成：[Type: 0x00] [Flags: 0x11] [Provider Address] [Salt: 8 bytes]。
   • 暗号化： Saltをキーとしてmbedtls_aes_crypt_ecbを使用してブロックを暗号化します。
4. 検証：
   • 暗号化されたパケットをKBP特性に書き込みます。
   • 通知応答を待ち受けます。
   • 脆弱： デバイスが通知を送信（ハンドシェイクを受け入れ）。
   • 安全： デバイスが沈黙するか切断します。

ハードウェア設定（config.h）

FT6336UタッチとTFT_eSPIディスプレイを備えたESP32向けに設計されています。

ビルドと書き込み

1. 依存関係：
   • NimBLE-Arduino (2.3.7)
   • TFT_eSPI (ディスプレイ)
   • FT6336U (入力)
2. パーティションスキーム： BLEスタックに対応するために**「Huge APP (3MB No OTA)」**を選択します。
3. TFT設定： 特定のボードのILI9341/ST7789ドライバーに合わせて、TFT_eSPIライブラリ内のUser_Setup.hを設定します。

または、Freenoveからライブラリをダウンロードして、Arduinoライブラリフォルダに配置します。

https://codeload.github.com/Freenove/Freenove_ESP32_S3_Display/zip/refs/heads/main

使い方

• スキャン： SCANを切り替えてリストを取得します。
• ターゲット設定： エントリをタップしてWhisperPairテストを開始します。