Sicherheitslücke in Bluetooth-Chip: Undokumentierte Befehle gefunden

Sie fanden in dem beliebten Microchip eine Hintertür, die die Bluetooth- und WLAN-Verbindungen aktivieren kann und Angreifern ermöglicht, unbefugt auf Daten und andere Geräte im Netzwerk zuzugreifen und sich langfristig in den betroffenen Geräten einzunisten. So könnten sie Attacken mit falscher Identität durchführen und empfindliche Geräte wie Mobiltelefone, Computer, intelligente Schlösser oder medizinische Geräte dauerhaft infizieren, indem sie die Kontrollen zur Code-Überprüfung umgehen.

In ihrer RootedCON-Präsentation erklärten die Tarlogic-Forscher, dass das Interesse an der Bluetooth-Sicherheitsforschung nachgelassen habe, aber nicht, weil das Protokoll oder seine Implementierung sicherer geworden seien, sondern weil die meisten Angriffe, die im vergangenen Jahr vorgestellt wurden, nur schwer in der Praxis umsetzbar waren.

Tarlogic hat einen neuen C-basierten USB-Bluetooth-Treiber entwickelt, der hardware-unabhängig und plattformübergreifend ist und einen direkten Zugriff auf die Hardware ermöglicht, ohne auf betriebssystemspezifische APIs angewiesen zu sein. Mit diesem neuen Tool, das einen direkten Zugriff auf den Bluetooth-Verkehr ermöglicht, entdeckte Tarlogic nun auch die versteckten herstellerspezifischen Befehle (Opcode 0x3F) in der ESP32-Bluetooth-Firmware, die eine Low-Level-Kontrolle über Bluetooth-Funktionen ermöglichen.

Insgesamt fanden die Sicherheitsforscher so 29 undokumentierte Befehle, die sie zusammen als Hintertür einstuften und für Speichermanipulationen (Lesen/Schreiben von RAM und Flash), MAC-Adressen-Spoofing (Geräte-Identifizierung) und LMP/LLCP-Paketinjektion verwendet werden können. Undokumentiert sind diese Befehle deshalb, weil der Hersteller Espressif sie nicht öffentlich dokumentiert hat, was nahelegt, dass sie entweder nicht zugänglich sein sollten oder versehentlich eingebaut worden sind. Das Problem wird nun unter CVE-2025-27840 verfolgt.

Besonders bedrohlich sind die Erkenntnisse der Sicherheitsforscher vor allem deshalb, weil es sich bei ESP32 um einen der weltweit am weitesten verbreiteten Microchips handelt, der für die WLAN- und Bluetooth-Konnektivität von Milliarden Geräten des Internet of Things zuständig ist. All diese Geräte laufen nun Gefahr, dass Angreifer sich Fernzugriff verschaffen können. Dies ist insbesondere dann der Fall, wenn ein Angreifer sich bereits Root-Zugriff verschafft und Malware eingeschleust oder ein bösartiges Update auf das Gerät aufgespielt hat, das einen Low-Level-Zugriff ermöglicht.

Eine Lösung für das Sicherheitsproblem ist derzeit nicht verfügbar. Dennoch sind bislang keine Fälle bekannt, bei denen die Sicherheitslücke in der Realität ausgenutzt wurde. Der Fall zeigt allerdings einmal mehr, dass auch von vermeintlich harmlosen Geräten des Internet of Things Gefahren ausgehen, die nicht unterschätzt werden sollten.

‍