SweynTooth: Teils ungepatchte Bluetooth-Schwachstelle in Wearables

Sicherheitsforscher haben bereits im vergangenen Jahr rund ein Dutzend Schwachstellen bei der Implementierung der Bluetooth-Low-Energy-Tech­nologie entdeckt und gemeldet. Sie nannten die Sicherheitslücke Sweyn­Tooth. Jetzt gibt es genauere Informationen. Die Probleme betreffen dabei Bluetooth-Low-Energy-Technologie (LE), wie sie auf den SoCs verschiedener Anbieter für die Stromversorgung zum Beispiel für Wearables, Smart Home-Geräte und medizinischen Produkte zum Einsatz kommt (via Bleeping Computer). Die Schwachstellen können dazu genutzt werden, die Geräte zum Absturz zu bringen und einen Neustart zu erzwingen, indem sie in einen Deadlock-Zustand versetzt werden. Es ist auch möglich, dass Unbefugte den sicheren BLE-Paarungsmodus umgehen und sich mit den betroffenen Geräten verbinden.

Auf YouTube ansehen

Drei Anbieter haben noch keine Updates fertig

Die Sicherheitsforscher Matheus E. Garbelini, Sudipta Chattopadhyay und Chundong Wang von der Singapore University of Technology and Design fanden die Schwachstellen in 15 SoCs. Alle Hersteller erhielten die Informationen zu der Sicherheitslücke, doch bislang ist die Schwach­stelle bei immerhin drei der Anbieter noch immer nicht gepatcht. Einer davon hat aber zumindest zeitnahe Update angekündigt.

Der Schwere­grad jeder Sicher­heits­lücke durch Sweyn­Tooth hängt von der Art des betroffenen Produkts ab: Ein Absturz auf einem trag­baren Gerät oder einem Tracking-Gerät hat nicht die­sel­ben Auswirkungen wie bei einem me­di­zi­ni­schen Gerät. Geräte, die auf SoCs von Texas Instruments, NXP, Cypress, Dialog Se­mi­con­duc­tors, Microchip, STMicroelectronics und Telink Semiconductor laufen, sind von Sweyn­Tooth betroffen. Es ist nicht auszuschließen, dass auch noch weitere SoC-Hersteller den Sweyn­Tooth-Fehler enthalten.

Betroffene Produkte

Die Forscher verifizierten ihre Erkenntnisse über mehrere elektronische Produkte, die von den gefährdeten SoCs betrieben werden. Dazu gehören die Smart­watch Fitbit Inspire, die Pro­duk­te des Smart Home-Anbieters Eve Systems (Lichtschalter, Eve Motion MKII, Eve Aqua, Eve Thermo MKII, Eve Room, Eve Lock, Eve Energy), das Smart Lock von August, der Cubi­Tag-Tra­cker für verlorene Gegenstände und das Smart Lock eGee Touch.