Falla en Google Fast Pair Permite Espionaje y Rastreo por Bluetooth (CVE-2024-36988)

Vulnerabilidad Crítica en Fast Pair Expone Dispositivos de Audio Bluetooth a Ataques

Investigadores en ciberseguridad han descubierto una falla crítica en el protocolo Fast Pair de Google que permite a actores maliciosos secuestrar accesorios de audio Bluetooth, rastrear usuarios y espiar conversaciones. La vulnerabilidad, identificada como CVE-2024-36988, afecta a una amplia gama de auriculares y audífonos inalámbricos que utilizan este protocolo.

Detalles Clave del Ataque

El protocolo Fast Pair, diseñado para simplificar el emparejamiento Bluetooth en dispositivos Android, contiene una vulnerabilidad de intermediario (MITM, por sus siglas en inglés) que permite a los atacantes interceptar y manipular conexiones Bluetooth. Al explotar esta falla, los adversarios pueden:

• Secuestrar sesiones activas de audio Bluetooth sin interacción del usuario
• Rastrear la ubicación de dispositivos mediante identificadores Bluetooth persistentes
• Espiar conversaciones redirigiendo flujos de audio

El ataque requiere proximidad al objetivo (dentro del rango de Bluetooth) y no necesita autenticación previa, lo que representa un riesgo significativo para la privacidad y la seguridad.

Análisis Técnico de CVE-2024-36988

La vulnerabilidad surge debido a mecanismos de autenticación insuficientes en el protocolo Fast Pair. Específicamente:

• Falta de autenticación mutua permite a los atacantes suplantar dispositivos legítimos
• Claves de sesión predecibles facilitan el secuestro de sesiones sin detección
• Identificadores persistentes de Bluetooth Low Energy (BLE) permiten el rastreo a largo plazo

Google ha lanzado un parche para abordar la falla, pero los dispositivos afectados deben recibir actualizaciones de firmware de los fabricantes para mitigar el riesgo.

Impacto y Recomendaciones

Dispositivos Afectados:

• Auriculares y audífonos inalámbricos que utilizan Google Fast Pair (ej. Pixel Buds, modelos de terceros seleccionados)
• Dispositivos Android con implementaciones desactualizadas de Fast Pair

Recomendaciones de Seguridad:

1. Aplicar parches de inmediato – Actualizar los dispositivos con Fast Pair a la última versión de firmware
2. Desactivar Fast Pair cuando no se utilice – Reducir la exposición a posibles ataques MITM
3. Monitorear conexiones Bluetooth sospechosas – Verificar emparejamientos no autorizados de dispositivos
4. Usar autenticación adicional – Habilitar autenticación multifactor (MFA) para transmisiones de audio sensibles

Google ha clasificado esta como una vulnerabilidad de alta gravedad (puntuación CVSS pendiente). Usuarios y empresas deben priorizar la aplicación de parches para prevenir la explotación.

Reportaje original de Sergiu Gatlan para BleepingComputer.