其他
BlueBorne漏洞影响逾53亿台蓝牙设备
▌作者：Catalin Cimpanu
▌翻译：360代码卫士团队
安全研究员在超过53亿台设备所使用的蓝牙实现中发现了8个漏洞，统称为BlueBorne漏洞。
研究人员表示，传统的安全解决方案无法检测并阻止这些漏洞。无需用户交互也无需攻击者跟目标设备配对，攻击者就能利用BlueBorne漏洞。
影响所有启用蓝牙的设备
BlueBorne漏洞影响安卓、iOS、微软和Linux的蓝牙实现，影响几乎所有的蓝牙设备类型，从智能手机到笔记本电脑、从物联网设备到智能汽车等不一而足。
在这8个漏洞中，3个漏洞被评级为“严重”，而发现BlueBorne的物联网安全企业Armis表示，漏洞能让攻击者接管设备并执行恶意代码，或者运行中间人共计并拦截蓝牙通信。
此外，这些漏洞可被组建成自传播蓝牙蠕虫，在企业网络内部造成损害甚至是对全球网络造成损害。
迄今为止最为严重的蓝牙漏洞
Armis公司的一名发言人表示，“这些漏洞是迄今为止发现的最严重的蓝牙漏洞。此前发现的漏洞主要是协议层面的。而这些新漏洞是在执行层面，它们绕过多种验证机制，并完全接管目标设备。”
Armis发出警告称警惕物理现身和BlueBorne漏洞的结合。比如，一名交付人员可能会在银行门口释放一个包，他可能携带针对启用蓝牙设备的武器化代码。一旦他进入银行，那么他携带的设备就会感染其他人并让攻击者在此前还是安全的网络中占得一席之地。
并非所有设备都会接收到补丁
Armis将这些漏洞告知主要的硬件和软件厂商如苹果、谷歌、微软和Linux社区。目前它们正在开发补丁并将于今天和未来几天几周内推出。
尽管如此，有些设备永远不会接收到BlueBorne补丁，因为这些设备已达到使用寿命终止周期，因此不会再收到支持。Armis公司预测这种设备的数量占所有启用蓝牙的设备数量的40%左右，也就是超过20亿台设备都不会得到补丁支持。
BlueBorne漏洞的CVE编号如下：CVE-2017-0781、CVE-2017-0782、CVE-2017-0783和CVE-2017-0785（均针对安卓设备）；CVE-2017-1000251和CVE-2017-1000250（均针对Linux）；以及CVE-2017-8628（针对Windows）。目前，针对iOS的漏洞尚未取得CVE编号。
受影响群体
所有安卓手机、平板电脑和所有版本的可穿戴设备都受以上提及的四个漏洞影响。仅使用低功耗蓝牙的安卓设备不受影响。谷歌在9月份发布的安卓安全公告中修复了这些漏洞。
Windows Vista之后的所有Windows版本均受影响。微软表示，Windows手机不受影响。微软在7月份秘密发布了CVE-2017-8628的补丁，但在9月份的补丁星期二才发布了所修复漏洞的具体详情。
所有运行BlueZ的Linux设备均受一个信息泄露漏洞影响；而所有的Linux设备（从发布于2011年10月的版本3.3-rc1开始）都受到一个远程代码执行漏洞的影响，该漏洞能通过BlueBorne遭利用。三星基于Linux的Tizen OS也受影响。
所有的iPhone、iPad和iPodtouch设备——iOS9.3.5版本及以下版本的设备，和版本为7.2.2及以下的AppleTV设备都受影响，不过该问题已在iOS 10中修复。
消费者该如何应对？
* 禁用蓝牙。如需要使用，则在使用后马上关闭。当补丁已更新或发布且已安装到你的设备上，你应该能够重新打开蓝牙并让其保持安全的状态。
* 安卓设备用户可通过从谷歌应用商店下载BlueBorne安卓app并运行一个简单快速的检查看判断设备是否易受攻击。
BlueBorne漏洞的技术报告已发布。另外BlueBorne攻击的演示视频和针对安卓、Windows和Linux设备的BlueBorne攻击视频也已发布。
本文由360代码卫士编译，不代表360观点，转载请注明“转自360代码卫士www.codesafe.cn”。