ZeroPair

Exploração Bluetooth de Autenticação Zero

"Roube a Impressão, Domine o Sistema"

███████╗███████╗██████╗  ██████╗
╚══███╔╝██╔════╝██╔══██╗██╔═══██╗
  ███╔╝ █████╗  ██████╔╝██║   ██║
 ███╔╝  ██╔══╝  ██╔══██╗██║   ██║
███████╗███████╗██║  ██║╚██████╔╝
╚══════╝╚══════╝╚═╝  ╚═╝ ╚═════╝
    ██████╗  █████╗ ██╗██████╗
    ██╔══██╗██╔══██╗██║██╔══██╗
    ██████╔╝███████║██║██████╔╝
    ██╔═══╝ ██╔══██║██║██╔══██╗
    ██║     ██║  ██║██║██║  ██║
    ╚═╝     ╚═╝  ╚═╝╚═╝╚═╝  ╚═╝

Autor: [CBKB] DeadlyData | 2026

O ZeroPair é uma ferramenta de prova de conceito que demonstra uma vulnerabilidade de autenticação zero em impressoras térmicas habilitadas para Bluetooth que utilizam chipsets Jieli e Barrot. Os dispositivos afetados aceitam conexões RFCOMM não autenticadas sem exigir emparelhamento ou interação do usuário, permitindo que um atacante dentro do alcance Bluetooth acesse a interface de comandos da impressora.

CVE: Enviado ao MITRE (atribuição pendente)

Prova de Conceito

Resumo da Vulnerabilidade

Impressoras térmicas habilitadas para Bluetooth que usam chipsets Bluetooth Jieli e Barrot contêm uma vulnerabilidade de bypass de autenticação em seu serviço RFCOMM (SPP). Devido a um controle de acesso inadequado implementado no firmware, os dispositivos afetados aceitam conexões RFCOMM não autenticadas sem exigir emparelhamento ou interação do usuário. A vulnerabilidade existe em um estado de confiança oculto no firmware que não pode ser inspecionado ou removido usando ferramentas padrão de gerenciamento Bluetooth.

Impacto

• Divulgação de Informações - Ler o buffer/estado da impressora sem autorização
• Execução Arbitrária de Comandos - Injetar comandos ESC/POS ou TSPL para imprimir conteúdo arbitrário
• Negação de Serviço - Consumir papel, bloquear a interface de comandos ou interromper a operação normal
• Backdoor Persistente - O dispositivo permanece explorável após reinicializações; o cache de emparelhamento não pode ser limpo por meio de ferramentas padrão

Classificações de Vulnerabilidade Detectadas

Dispositivos Afetados

Outras impressoras térmicas Bluetooth que usam esses chipsets também podem ser afetadas.

Requisitos

Plataforma

• Linux (requer a pilha BlueZ)

Dependências do Sistema

• bluez - pilha de protocolos Bluetooth (hcitool, bluetoothctl, rfcomm, sdptool)

Instale no Debian/Ubuntu:

sudo apt install bluez

Dependências Python

• Python 3
• colorama

pip install colorama

Hardware

• Adaptador Bluetooth (integrado ou dongle USB)
• Deve estar dentro do alcance Bluetooth (~10m) do dispositivo alvo

Uso

O ZeroPair requer privilégios de root para operações RFCOMM.

Alvo Único (com validação)

Executa uma validação completa de vulnerabilidade em 4 etapas antes da exploração:

sudo python3 ZeroPair.py <MAC_ADDRESS>

sudo python3 ZeroPair.py 66:32:9E:2E:FD:94

Alvo Único (pular validação)

Pula a validação e tenta exploração direta:

sudo python3 ZeroPair.py <MAC_ADDRESS> --skip

Modo de Varredura Automática (com validação)

Varre todos os dispositivos Bluetooth, identifica impressoras, valida e explora:

sudo python3 ZeroPair.py --scan

Modo de Varredura Automática (pular validação)

Modo mais rápido - varre e explora sem validação:

sudo python3 ZeroPair.py --scan --skip

Argumentos

Como Funciona

Cadeia de Exploração

1. Descoberta - A varredura Bluetooth identifica impressoras térmicas pelo nome do dispositivo
2. Validação (opcional) - Verificação de vulnerabilidade em 4 etapas:
   • Visibilidade de emparelhamento no espaço do usuário via bluetoothctl
   • Identificação do adaptador Bluetooth local
   • Inspeção do cache de emparelhamento no sistema de arquivos (/var/lib/bluetooth/)
   • Teste de acesso não autenticado RFCOMM (crítico)
3. Descoberta de Canal - Navegação SDP para encontrar o canal RFCOMM SPP
4. Conexão - Bind RFCOMM ao alvo sem emparelhamento ou PIN
5. Injeção de Comandos - Payload ESC/POS ou TSPL enviado à impressora
6. Saída Física - A impressora produz um recibo/etiqueta como prova da exploração

Por Que Isso Funciona

As impressoras afetadas implementam uma política permissiva de aceitação RFCOMM no nível do firmware. O controlador Bluetooth não aplica autenticação ou criptografia para conexões SPP recebidas. Como o estado de confiança é gerenciado no firmware em vez de pela pilha Bluetooth do host (BlueZ), ferramentas padrão como bluetoothctl não podem detectar, inspecionar ou revogar a confiança implícita. O dispositivo aceita silenciosamente conexões de qualquer host Bluetooth sem interação do usuário.

Exemplo de Saída

[*] single target mode (validation enabled)

[*] ==========================================================
[*] target: 66:32:9E:2E:FD:94 (X6h-A725)
[*] model: X6h-A725
[*] ==========================================================

[*] starting vulnerability validation...
[*] testing user-space pairing visibility [DONE]
[*] identifying local bluetooth adapter [DONE]
[*] checking filesystem pairing cache [DONE]
[*] testing RFCOMM unauthenticated access [DONE]

[!] VULNERABILITY CONFIRMED
    Type: ZERO AUTHENTICATION
    Severity: CRITICAL

[*] vulnerability details:
    [+] RFCOMM accessible: YES
    [+] BlueZ visible: NO
    [+] BlueZ paired: NO
    [+] Cache exists: NO

[+] target is exploitable - proceeding with attack

[*] discovering RFCOMM channels [channel 1]
[*] establishing RFCOMM connection [CONNECTED]
[*] injecting ESC/POS payload [SUCCESS]

[*] exploitation successful - check printer output!

[+] exploitation completed successfully

Aviso Legal

Esta ferramenta é apenas para testes de segurança autorizados e fins educacionais. O acesso não autorizado a sistemas de computador é ilegal. O autor não assume nenhuma responsabilidade e não é responsável por qualquer uso indevido ou dano causado por esta ferramenta. Use com responsabilidade e somente em sistemas que você possui ou para os quais tenha permissão explícita para testar.

Licença

MIT