О проекте

POC для уязвимости CVE-2025-36911 WhisperPair, позволяющий подключаться к поддерживаемым устройствам без какой-либо информации для аутентификации.

Эта прошивка выполняет только обнаружение и подтверждение уязвимости и не реализует полноценное прослушивание аудио.

Вывод во время тестов:

• Тестируемый Mac: будет использовать собственный Mac ESP и Mac тестируемого устройства для попытки сопряжения.
• Проверить, раскрывает ли устройство ключ, если попросить вежливо: раскрытие ключа через Read; трансляция ключа в рекламных пакетах.
• Принять неверный ключ: попытка отправить случайный ключ безопасности.

Протестировано на устройстве: Freenove ESP32-S3 ESP32 S3 Display CYD 2.8 Inch IPS Capacitive Touch Screen 240x320 Pixel

Видео

Об устройстве

Вы можете использовать устройство ESP32 для поиска устройств, поддерживающих Fast Pair, и проверки уязвимости.

Компания

Интересуетесь пентестом и охранными устройствами? Посетите

https://pivotchip.ca

Основная логика и протокол

1. Обнаружение и фильтрация

Сканер (BleManager) обходит стандартное обнаружение и анализирует необработанные рекламные пакеты на предмет полезной нагрузки GFPS

• Fast Pair: Service UUID 0xFE2C.
• Nearby: Service UUID 0xFEF3.
• Извлечение Model ID: разбирает 3-байтовый Model ID из Service Data для отслеживания устройств при смене MAC-адресов.

2. Управление состоянием (дедупликация)

Для обработки BLE-устройств с включённой конфиденциальностью, которые ротируют MAC-адреса, система использует многоуровневую проверку идентичности

1. Совпадение MAC: проверка строгого равенства необработанных адресов.
2. Совпадение идентичности: если MAC отличается, сопоставление выполняется по Model ID или Device Name.
3. Hot-Swap: обновляет сохранённый MAC-адрес в реальном времени, когда известная идентичность транслируется с нового адреса, предотвращая сбои подключения во время тестов.

3. Эксплуатация рукопожатия KBP

Функция testDevice выполняет необработанное рукопожатие GFPS для проверки возможности несанкционированного принятия сопряжения

1. Подключение: устанавливает GATT-соединение с таймаутом 8 секунд.
2. Разрешение службы: находит Service Fast Pair (0xFE2C) и характеристику KBP (fe2c1234-8366-4814-8eb0-01de32100bea).
3. Формирование полезной нагрузки:
   • Генерирует 16-байтовый блок: [Type: 0x00] [Flags: 0x11] [Provider Address] [Salt: 8 bytes].
   • Шифрование: шифрует блок с помощью mbedtls_aes_crypt_ecb, используя Salt в качестве ключа.
4. Проверка:
   • Записывает зашифрованный пакет в характеристику KBP.
   • Ожидает ответ Notification.
   • Уязвимо: устройство отправляет уведомление (принимая рукопожатие).
   • Безопасно: устройство молчит или разрывает соединение.

Конфигурация оборудования (config.h)

Разработано для ESP32 с сенсорным экраном FT6336U и дисплеями TFT_eSPI.

Сборка и прошивка

1. Зависимости:
   • NimBLE-Arduino (2.3.7)
   • TFT_eSPI (Display)
   • FT6336U (Input)
2. Схема разделов: выберите "Huge APP (3MB No OTA)", чтобы разместить BLE-стек.
3. Настройка TFT: настройте User_Setup.h в библиотеке TFT_eSPI в соответствии с драйвером ILI9341/ST7789 для вашей конкретной платы.

или загрузите библиотеки от Freenove и поместите их в папку библиотек Arduino

https://codeload.github.com/Freenove/Freenove_ESP32_S3_Display/zip/refs/heads/main

Использование

• Сканирование: переключите SCAN, чтобы заполнить список.
• Выбор цели: коснитесь записи, чтобы запустить тест WhisperPair.