Vulnérabilités dans BlueZ

Date de publication :

Plusieurs vulnérabilités ont été découvertes dans BlueZ, un logiciel permettant l’implémentation du Bluetooth sur les systèmes Linux. Elles peuvent permettre à un attaquant de provoquer une élévation de privilèges ou une fuite d’informations.

CVE-2020-12351 [Score CVSS v3 : 8.3] : Une vulnérabilité due à une validation incorrecte d’entrées a été découverte dans BlueZ. Elle peut permettre à un attaquant non authentifié et à portée de signal de provoquer une élévation de privilèges. 

Cette vulnérabilité a été nommée “BleedingTooth” et des preuves de concept ainsi que des codes d’exploitation sont disponibles publiquement pour celle-ci.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Elévation de privilèges

Criticité

  • Score CVSS v3 : 8.3

Existence d’un code d’exploitation

  • Des preuves de concept ainsi que des codes d’exploitation sont disponibles publiquement pour la CVE-2020-12351

Composants vulnérables

  • Toutes les versions noyau Linux avant la 5.10 et supportant BlueZ

CVE

  • CVE-2020-12351
  • CVE-2020-12352
  • CVE-2020-22490

Solutions ou recommandations

Mise en place de correctifs de sécurité

  • Mettre à jour le noyau Linux vers la version 5.10 ou supérieure

Solution de contournement

Liens