Android, Linux, macOS और iOS में Bluetooth keystroke-injection

मूल लेख ↗ Hacker News चर्चा ↗

Bluetooth implementations in Android, Linux, macOS and iOS contain a keystroke‑injection vulnerability (CVE-2023-45866) that allows an attacker nearby to spoof a keyboard and send commands without user confirmation, in some cases even when a device only has Bluetooth enabled. Commenters examine how different stacks ended up exposed — from insecure or backwards‑compatibility‑driven defaults in Linux’s BlueZ to Apple’s “magic” auto‑pairing behavior — and note that recent OS updates fix the issue on many platforms, though older Apple systems remain unpatched. Practical mitigation ranges from disabling Bluetooth or tightening configuration (e.g., BlueZ’s `ClassicBondedOnly=true`) to favoring wired peripherals, while questions remain about Windows’ exposure and the broader trade-off between wireless convenience and security.

कमज़ोरी का दायरा

  • CVE-2023-45866 Bluetooth डिवाइसों को कीबोर्ड के रूप में impersonate करने और “unauthenticated” pairing व्यवहार तथा Bluetooth spec की implementation bugs का दुरुपयोग करके keystrokes inject करने की अनुमति देता है।
  • हमला user confirmation के बिना काम कर सकता है और, कुछ मामलों में, पहले से trusted keyboard के active होने के बिना भी।
  • व्यावहारिक प्रभाव: terminals launch करना, software install करना (जहाँ extra auth न हो), numbers dial करना, या nuisance actions trigger करना; अधिक गंभीर हमलों के लिए अन्य vulnerabilities के साथ chaining की आवश्यकता हो सकती है।

Platform-Specific Notes

  • Android
    • इसे “a field day” कहा गया: Bluetooth enabled होने पर vulnerable है, केवल discoverable होने पर नहीं।
    • December 2023 Android security bulletin में fix शामिल है; कुछ derivatives (e.g., DivestOS) ने older versions के लिए patches भी backport किए हैं।
  • Linux / BlueZ
    • underlying issue 2020 में patched था, लेकिन older devices के साथ compatibility के लिए इसे disabled (“insecure default”) shipping किया गया।
    • Mitigation एक config flag ClassicBondedOnly=true है; कुछ distros और ChromeOS अब इसे default by default सक्षम करते हैं।
  • macOS / iOS
    • Bluetooth enabled होने और एक Magic Keyboard के paired होने पर vulnerable है।
    • current versions (macOS 14.2, iOS 17.2) में fix है, लेकिन macOS 13 / iOS 16 में backport नहीं किया गया, जिससे “supported” older devices पर निर्भर users निराश हैं।
    • “Magic Keyboard” pairing का दुरुपयोग कैसे होता है, इसकी details अभी भी स्पष्ट नहीं हैं; यह सवाल बना हुआ है कि क्या केवल historical pairing पर्याप्त है।
  • Windows
    • write-up में उल्लेख नहीं है; यह unaffected है या बस untested, यह स्पष्ट नहीं है। कुछ लोग architectural details चाहते हैं; अन्य नोट करते हैं कि अलग tools के जरिए separate HID-style attacks मौजूद हैं।

Mitigations & Practicality

  • सामान्य सलाह:
    • जरूरत न होने पर Bluetooth disable करें (iOS/macOS पर कठिन या non-persistent; Android पर आसान)।
    • Linux पर, explicitly ClassicBondedOnly=true set करें और Bluetooth restart करें।
  • कुछ लोग तर्क देते हैं कि locked phones या जहाँ app installs के लिए biometrics/passwords चाहिए, वहाँ risk कम है; अन्य कहते हैं कि कई devices unlocked रहती हैं या आसानी से wake हो जाती हैं।
  • Kiosks और unattended machines को विशेष रूप से exposed माना गया है।

Security vs Usability / Wireless vs Wired

  • “convenience/backward compatibility vs security” का मजबूत theme है, insecure defaults और automatic pairing behaviors की आलोचना के साथ।
  • सामान्य रूप से Bluetooth पर बहस: कई लोगों द्वारा इसे wired की तुलना में fragile और insecure माना गया; अन्य आधुनिक hardware के साथ stable, low-latency experience की रिपोर्ट करते हैं।
  • कई participants reliability और security दोनों के लिए wired keyboards को प्राथमिकता देने की बात दोहराते हैं, हालांकि अन्य लोग wireless setups की ergonomics और aesthetics को प्राथमिकता देते हैं।