소개

CVE-2025-36911 WhisperPair 취약점에 대한 POC로, 인증 정보 없이 지원되는 기기에 연결할 수 있습니다.

이 펌웨어는 발견(discovery) 및 취약점 확인만 수행하며, 완전한 오디오 청취 기능은 구현하지 않습니다.

테스트 중 출력:

• 테스트 Mac: 자체 Mac과 테스트 중인 기기의 Mac을 사용하여 페어링을 시도합니다.
• 정중하게 요청하면 기기가 키를 노출하는지 확인: Read를 통한 키 노출, Ads에서 키 브로드캐스트.
• 잘못된 키 수락: 임의의 보안 키를 전송해 봅니다.

테스트 기기: Freenove ESP32-S3 ESP32 S3 Display CYD 2.8인치 IPS 정전식 터치 스크린 240x320 픽셀

비디오

기기 정보

ESP32 기기를 사용하여 Fast Pair를 지원하는 기기를 추적하고 취약점을 확인할 수 있습니다.

회사

침투 테스트 및 보안 기기에 관심이 있으신가요? 방문하세요:

https://pivotchip.ca

핵심 로직 및 프로토콜

1. 발견 및 필터링

스캐너(BleManager)는 표준 발견 과정을 우회하여 GFPS 페이로드를 위해 원시 광고 패킷을 파싱합니다.

• Fast Pair: 서비스 UUID 0xFE2C.
• Nearby: 서비스 UUID 0xFEF3.
• 모델 ID 추출: Service Data에서 3바이트 모델 ID를 파싱하여 MAC 주소 변경에도 기기를 추적합니다.

2. 상태 관리 (중복 제거)

MAC 주소를 변경하는 개인 정보 보호 기능이 활성화된 BLE 기기를 처리하기 위해 시스템은 계층적 ID 확인을 사용합니다.

1. MAC 일치: 원시 주소의 정확한 일치 여부를 확인합니다.
2. ID 일치: MAC이 다르면 Model ID 또는 Device Name을 통해 연관시킵니다.
3. 핫스왑: 알려진 ID가 새 주소에서 브로드캐스트될 때 저장된 MAC 주소를 실시간으로 업데이트하여 테스트 중 연결 실패를 방지합니다.

3. KBP 핸드셰이크 악용

testDevice 함수는 무단 페어링 수락 여부를 테스트하기 위해 원시 GFPS 핸드셰이크를 실행합니다.

1. 연결: 8초 제한 시간으로 GATT 연결을 설정합니다.
2. 서비스 확인: Fast Pair 서비스(0xFE2C)와 KBP 특성(fe2c1234-8366-4814-8eb0-01de32100bea)을 찾습니다.
3. 페이로드 구성:
   • 16바이트 블록 생성: [Type: 0x00] [Flags: 0x11] [Provider Address] [Salt: 8 bytes].
   • 암호화: Salt를 키로 사용하여 mbedtls_aes_crypt_ecb로 블록을 암호화합니다.
4. 검증:
   • 암호화된 패킷을 KBP 특성에 씁니다.
   • Notification 응답을 기다립니다.
   • 취약함: 기기가 알림을 보냅니다(핸드셰이크 수락).
   • 안전함: 기기가 침묵하거나 연결을 끊습니다.

하드웨어 구성 (config.h)

FT6336U 터치 및 TFT_eSPI 디스플레이가 있는 ESP32용으로 설계되었습니다.

빌드 및 플래시

1. 의존성:
   • NimBLE-Arduino (2.3.7)
   • TFT_eSPI (디스플레이)
   • FT6336U (입력)
2. 파티션 구성: BLE 스택을 수용하려면 **"Huge APP (3MB No OTA)"**를 선택하세요.
3. TFT 설정: TFT_eSPI 라이브러리의 User_Setup.h를 보드에 맞는 ILI9341/ST7789 드라이버로 구성하세요.

또는 Freenove에서 라이브러리를 다운로드하여 Arduino 라이브러리 폴더에 넣으세요.

https://codeload.github.com/Freenove/Freenove_ESP32_S3_Display/zip/refs/heads/main

사용 방법

• 스캔: SCAN을 토글하여 목록을 채웁니다.
• 대상 선택: 항목을 탭하여 WhisperPair 테스트를 시작합니다.