Уязвимость Google Fast Pair позволяет подслушивать и отслеживать устройства по Bluetooth (CVE-2024-36981)

Уязвимость протокола Google Fast Pair ставит под угрозу Bluetooth-аудиоустройства

Исследователи в области кибербезопасности обнаружили критическую уязвимость (CVE-2024-36981) в протоколе Google Fast Pair, которая позволяет злоумышленникам перехватывать Bluetooth-аудиоаксессуары, отслеживать перемещения пользователей и подслушивать разговоры. Уязвимость затрагивает широкий спектр беспроводных наушников и гарнитур, использующих этот протокол, что создает серьезные риски для конфиденциальности и безопасности.

Технические детали CVE-2024-36981

Уязвимость связана с некорректными механизмами аутентификации в протоколе Fast Pair, который предназначен для упрощения сопряжения Bluetooth-устройств с Android. Злоумышленники, находящиеся в непосредственной близости (как правило, до 10 метров), могут эксплуатировать эту уязвимость для:

• Перехвата Bluetooth-аудиоустройств путем подмены легитимных запросов на сопряжение.
• Отслеживания пользователей через постоянные идентификаторы устройств, даже после отключения.
• Подслушивания разговоров путем перехвата аудиопотоков во время активных сессий.

Компания Google присвоила уязвимости оценку CVSS 8.2 (Высокая), что отражает потенциал ее эксплуатации без взаимодействия с пользователем. Компания выпустила патчи для уязвимых устройств и настоятельно рекомендует пользователям незамедлительно установить обновления.

Анализ последствий

Уязвимость в первую очередь затрагивает пользователей Android с аудиоаксессуарами, поддерживающими Fast Pair, включая популярные бренды, такие как JBL, Sony и Bose. Основные риски включают:

• Нарушение конфиденциальности через несанкционированный перехват аудио.
• Физическое отслеживание пользователей посредством анализа Bluetooth-сигналов.
• Перехват сессий для вредоносных целей, таких как внедрение аудио или нарушение соединений.

Хотя на данный момент не зафиксировано активных атак с использованием этой уязвимости, низкий технический порог эксплуатации делает ее приоритетным объектом для установки патчей как для предприятий, так и для частных пользователей.

Рекомендации по снижению рисков

Специалисты по безопасности и пользователи должны предпринять следующие шаги для минимизации рисков:

1. Установить последние обновления безопасности от Google для устройств Android и аксессуаров, совместимых с Fast Pair.
2. Отключить Fast Pair на устройствах, где эта функция не является необходимой.
3. Мониторить Bluetooth-соединения на предмет необычных запросов на сопряжение или неавторизованных устройств.
4. Обучать пользователей рискам использования Bluetooth в общественных местах и поощрять безопасные практики сопряжения.

Google выразил благодарность исследователям в области безопасности [название компании, если раскрыто] за ответственное раскрытие уязвимости. Дополнительные технические детали доступны в бюллетене безопасности Google.