חוקר הפך את רמקול Sound Blaster Katana V2X ל-Rubber Ducky מרחוק

חוקר אבטחה פרסם פרטים על פגיעויות בפס הקול Creative Sound Blaster Katana V2X המאפשרות לתוקף בטווח של כ-15 מטרים להשתלט על המכשיר דרך Bluetooth — בלי להתאים (pairing) ובלי לגעת בו — ולהשתמש בו כדי לשלוח הקשות למחשב שאליו הרמקול מחובר.

הפרויקט החל בניסיון לכתוב כלי Linux לשליטה ברמקול המחובר ב-USB, והסתיים בקושחה מותאמת שהופכת את המכשיר למה שהמחבר מתאר כ-Rubber Ducky בשליטה מרחוק.

ב-Bluetooth אין אימות

אפליקציית שולחן העבודה של Creative שולטת ברמקול באמצעות סט פקודות קנייני שהחוקר מכנה CTP ‏(Creative Transport Protocol). בחיבור USB דורש CTP שלב אימות מסוג אתגר-תגובה, עם מפתח סטטי שניתן להפיק מהבינאריים שמגיעים עם האפליקציה. ב-Bluetooth ההגנה הזו נעדרת.

באמצעות האזנה לתעבורה של אפליקציית המובייל של היצרן הוא גילה שנתוני ההתאמה נכתבים למאפיין BLE אחד ונקראים מאחר. לאחר מכן התחבר לרמקול מהמחשב הנייד בלי התאמה, כתב פקודת CTP לקריאת גרסת הקושחה וקיבל בחזרה את מחרוזת הגרסה המלאה. כלומר, כל מכשיר בטווח יכול לשלוח לרמקול פקודות CTP.

קושחה בלי חתימה

גם עדכוני הקושחה מבוצעים דרך CTP. המכל מכיל טוען אתחול עם מצב שחזור, את תמונת הקושחה הראשית וסכום ביקורת SHA-256 בסופו. אין בדיקת חתימה: המכשיר מקבל קושחה מותאמת כל עוד סכום הביקורת נכון. הוא אימת זאת כשהחליף את המחרוזת "WELCOME" המוצגת על צג הרמקול במחרוזת "PATCHED".

העלאת תמונה מותאמת דרך Bluetooth ארכה כעשר דקות, ולאחריה הרמקול הופעל מחדש והציג את הטקסט שהוחלף. מכיוון שפס הקול כבר מציג עצמו למחשב כהתקן ממשק אנושי (HID) לשליטה בעוצמת הקול ובמדיה, הוא הוסיף מתאר דיווח שני שהופך אותו למקלדת וניצל שגרה קיימת לשליחת נתוני HID. המטען שלו מחליף משימת אבחון שאינה בשימוש, ממתין כ-20 שניות לעליית תת-מערכת ה-USB, מקליד echo pwned ולוחץ Enter, בהפרש של כ-20 אלפיות שנייה בין הקשות. בתרחיש תקיפה אמיתי התוקף היה פותח מעטפת, מדביק פקודה זדונית ומשבית את שגרת העדכון כדי למנוע מחיקת הקושחה.

תגובת היצרן

החוקר דיווח על הבעיות ל-SingCERT של סינגפור לאחר ששתי פניות ל-Creative דרך טופס התמיכה לא נענו; לדבריו לחברה אין איש קשר פומבי לענייני אבטחה. ל-Creative לקח כמעט חודשיים להשיב, וב-3 ביוני היא הודיעה ל-SingCERT כי אינה "רואה בכך פגיעות, מכיוון שאין בכך סיכון לאבטחת סייבר". התיק נסגר ואין תיקון מצד היצרן — הקושחה האחרונה נותרת פגיעה.

כפתרון חלקי הוא פרסם כלי שמוריד את הקושחה הרשמית, מתקן אותה בזיכרון כדי לחסום CTP מעל Bluetooth ומעלה אותה ל-Katana V2X מחובר ב-USB. התיקון הזה כנראה שובר את אפליקציית המובייל של היצרן, ו-Bluetooth נשאר פעיל גם במצב שינה, בלי דרך ברורה לכבות אותו.