Araştırmacı Sound Blaster Katana V2X hoparlörünü uzaktan Rubber Ducky'ye çevirdi

Bir güvenlik araştırmacısı, Creative Sound Blaster Katana V2X ses çubuğundaki açıkların ayrıntılarını yayımladı. Bu açıklar, yaklaşık 15 metre mesafedeki bir saldırganın cihazı Bluetooth üzerinden — eşleşmeden ve dokunmadan — ele geçirmesine ve hoparlörün bağlı olduğu bilgisayara tuş vuruşları göndermesine olanak tanıyor.

Proje, USB ile bağlı hoparlörü denetlemek için bir Linux aracı yazma girişimi olarak başladı; sonunda cihazı uzaktan kumandalı bir Rubber Ducky'ye dönüştüren özel yazılımla bitti.

Bluetooth'da kimlik doğrulama yok

Creative'in masaüstü uygulaması hoparlörü, araştırmacının CTP (Creative Transport Protocol) adını verdiği tescilli komut setiyle yönetiyor. USB üzerinden CTP, Creative uygulamasıyla gelen ikili dosyalardan türetilebilen statik bir anahtarla meydan okuma-yanıt kimlik doğrulaması gerektiriyor. Bluetooth üzerinden bu koruma yok.

Üreticinin mobil uygulamasının trafiğini dinleyerek eşleşme verilerinin bir BLE karakteristiğine yazıldığını, başka bir karakteristikten okunduğunu buldu. Ardından dizüstü bilgisayarından eşleşme olmadan hoparlöre bağlandı, yazılım sürümünü okuyan CTP komutunu gönderdi ve tam sürüm dizesini aldı. Yani menzildeki herhangi bir cihaz hoparlöre CTP komutları gönderebilir.

İmzasız yazılım güncellemeleri

Yazılım güncellemeleri de CTP üzerinden yapılıyor. Paket, kurtarma modu olan bir önyükleyiciyi, ana yazılım imajını ve sona eklenmiş bir SHA-256 sağlama toplamını içeriyor. İmza denetimi yok: cihaz, sağlama toplamı doğru olduğu sürece değiştirilmiş yazılımı kabul ediyor. Araştırmacı bunu hoparlörün ekranında görünen "WELCOME" dizesini "PATCHED" ile değiştirerek doğruladı.

Değiştirilmiş imajın Bluetooth üzerinden yüklenmesi yaklaşık on dakika sürdü; ardından hoparlör yeniden başladı ve değiştirilmiş metni gösterdi. Ses çubuğu bilgisayara zaten ses düzeyi ve medya denetimi için USB HID aygıtı olarak göründüğünden, araştırmacı cihazı klavye olarak sunan ikinci bir rapor tanımlayıcısı ekledi ve mevcut HID verisi gönderme rutinini kullandı. Yükü, kullanılmayan bir tanılama görevini geçersiz kılıyor, USB alt sisteminin açılması için yaklaşık 20 saniye bekliyor, echo pwned yazıp Enter'a basıyor; tuş vuruşları arasında yaklaşık 20 milisaniye var. Gerçek bir saldırıda saldırgan bir kabuk açıp kötü amaçlı bir komut yapıştırır ve yazılımın silinmesini önlemek için güncelleme rutinini devre dışı bırakırdı.

Üreticinin yanıtı

Araştırmacı, Creative'e destek formu üzerinden iki kez ulaşma girişimi başarısız olduktan sonra sorunları Singapur'un SingCERT kurumuna bildirdi; şirketin kamuya açık bir güvenlik iletişim adresi bulunmadığını belirtiyor. Creative neredeyse iki ayda yanıt verdi ve 3 Haziran'da SingCERT'e bunu "siber güvenlik riski oluşturmadığı için güvenlik açığı saymadıklarını" bildirdi. Dosya kapatıldı ve üretici yaması yok — en son yazılım hâlâ savunmasız.

Kısmi bir çözüm olarak, resmî yazılımı indirip bellekte CTP'nin Bluetooth üzerinden çalışmasını engelleyecek şekilde yamalayan ve USB ile bağlı bir Katana V2X'e yükleyen bir araç yayımladı. Bu düzeltme muhtemelen üreticinin mobil uygulamasını bozar; Bluetooth ise uyku modunda bile açık kalıyor ve kapatmanın belirgin bir yolu görünmüyor.