[Infratech - vulnérabilité] Déni de Service sur les téléphones mobiles Sony/Ericsson

Par Pierre Betouin, secuobs.com
Le 05/02/2006

---

Résumé : Selon la version du firwmare et le modèle, le dispositif des téléphones portables de la marque Sony/Ericsson peut être stoppé (Déni de Service) ou afficher un écran blanc étrange (Bug). Cette faille a été trouvée grâce à Bluetooth Stack Smasher (BSS). - Lire l'article



[Version francaise] - [English version]

La plupart des téléphones portables de la marque Sony/Ericsson vendus actuellement est conforme aux normes de communication Bluetooth ( lien ). Bluetooth n'y est cependant pas activé par défaut.

Nombre d'utilisateurs l'emploient avec plusieurs autres dispositifs (oreillettes, systèmes GPS, etc etc). Plus d'informations sur ces dispositifs Bluetooth sur lien

Bluetooth utilise, au niveau le plus bas, la couche L2CAP ( lien ) pour le multiplexage et l'accès au média. Les protocoles de haut niveau ( lien ), comme RFCOMM ou SDP, l'emploient également.

L'envoi de paquets malformés peut provoquer un Déni de Service (DoS) au minimum sur les dispositifs affectés dont les fonctions Bluetooth ont été activées. La faille en question a été identifiée grâce à l'utilitaire BSS (Bluetooth Stack Smasher - lien pour en savoir plus ).

Selon la version du "Firmware" (logiciel embarqué) en présence et le modèle du téléphone utilisé, l'ensemble du dispositif mobile peut être stoppé (DoS) ou peut également afficher un écran blanc étrange (Bug).

Un paquet L2CAP de petite taille est employé :

08 01 01 00

Ce paquet représente les champs d'en-tête L2CAP suivants :

code L2CAP_ECHO_REQ;
ident 1
length 1

Le "véritable" paquet envoyé est en vérité d'une longueur de 4 octets. Le DoS peut être alors déclenché lorsque la longueur introduite pour le champ L2CAP est égale à la vraie longueur diminuée de 3 unités (qui sont égales à la taille de l'en-tête L2CAP ici).

Les dispositifs exposés à cette vulnérabilité sont :

- Sony/Ericsson K600i
- Sony/Ericsson V600i
- Sony/Ericsson W800i

Plus de dispositifs peuvent être affectés mais nous n'en avons pas examiné plus en raison des limitations de matériel disponible dans nos services. Seule solution possible pour le moment, les utilisateurs de ces modèles doivent désactiver les fonctions Bluetooth de leur téléphone portable.

Une mise à jour des différents firmwares n'est pas disponible pour le moment,mais sera surement distribuée par le vendeur à l'avenir.

Un code "Proof of Concept" (PoC) est disponible lien il permet de démontrer la faisabilité de l'exploitation de cette faille.

Son utilisation (la compilation a besoin de libbluetooth) :

# gcc -lbluetooth reset_display_sonyericsson.c -o reset_display_sonyericsson

# ./reset_display_sonyericsson 00:12:EE:XX:XX:XX

Où 00:12:EE:XX:XX:XX est l'adresse bluetooth de la cible.


Pour plus d'informations sur la sécurité Bluetooth :

[Dossier Sécurité Bluetooth - partie 1] Introduction aux technologies Bluetooth lien

[Dossier Sécurité Bluetooth - partie 2] Présentation des utilitaires Bluetooth lien

[Dossier Sécurité Bluetooth - partie 3] Les attaques génériques lien

[Dossier Sécurité Bluetooth - partie 4] Les attaques d'implémentations lien

[Dossier Sécurité Bluetooth - partie 5] Scénarios possibles & synthèse lien

[Infratech - vulnérabilité] PoC pour le DoS sur les téléphones portables Sony/Ericsson lien

[Infratech - vulnérabilité] PoC pour le DoS sur hcidump lien

[Infratech - vulnérabilité] Déni de Service sur hcidump lien

[Infratech - release] BSS - Bluetooth Stack Smasher v0.6 lien



[English version] - [Version francaise]

Most of Sony/Ericsson cell phones sold now are Bluetooth compliant. Bluetooth is not enabled by default. Lots of users use it with several other devices (earsets, GPS systems, and so on).

More information about these devices on lien

Bluetooth technology uses at the lowest level a L2CAP layer for multiplexing and "access to media" purposes.

Other upper protocols, such as RFCOMM or SDP, use it for instance.

Malformed packets can lead to, at least, a denial of service on affected devices. This flaw was found using the BSS tool (Bluetooth Stack Smasher lien ).

According to the firmware version and to the model, the device can be halted or can display a strange white screen.

A short raw L2CAP packet such as :

08 01 01 00

It represents the following L2CAP header fields :

code L2CAP_ECHO_REQ;
ident 1
length 1

The "real" packet sent is, in fact, 4 bytes long.

The DoS can be triggered when the length sent in the L2CAP field is equal to the real length minus 3 (which is the size of the L2CAP header here).

Tested devices are :

- Sony/Ericsson K600i
- Sony/Ericsson V600i
- Sony/Ericsson W800i

More devices may be affected but we did not test more devices because of hardware limitations. Solution is to switch off bluetooth on the phone. A firmware upgrade may be distributed later by vendor.

"Proof of Concept" (PoC) code about the exploitation of this Denial of Service (DoS) on Sony/Ericsson phone is available on lien

PoC usage (compilation needs libbluetooth) :

# gcc -lbluetooth reset_display_sonyericsson.c -o reset_display_sonyericsson

# ./reset_display_sonyericsson 00:12:EE:XX:XX:XX

Où 00:12:EE:XX:XX:XX est l'adresse bluetooth de la cible.