世界中で10億台のデバイスで使用されているBluetoothチップにセキュリティ上の欠陥が発見される

ESP32は、中国のメーカーEspressifの非常に人気のある低価格チップで、2023年までに世界中で10億台以上のデバイスに使用されると推定されていますが、攻撃に悪用される可能性のある、文書化されていない「バックドア」が含まれています。

これらの文書化されていないコマンドにより、信頼できるデバイスのなりすまし、データへの不正アクセス、ネットワーク上の他のデバイスへのリダイレクト、および永続性の確立が可能になります。

この発見は、Tarlogic Securityチームのスペインのサイバーセキュリティ研究者、ミゲル・タラスコ・アクーニャ氏とアントニオ・バスケス・ブランコ氏によって公表された。マドリッドで開催されたRootedCONカンファレンスで次のような声明が出されました。

Tarlogic Security は、WiFi および Bluetooth 接続をサポートし、市場に出回っている何百万台もの IoT デバイスに搭載されているマイクロコントローラ シリーズである ESP32 にバックドアを発見しました。このバックドアを悪用すると、悪意のある人物がなりすまし攻撃を実行し、コードチェックを回避して携帯電話、コンピューター、スマートロック、医療機器などの機密デバイスに永続的な感染を起こす可能性があります。

ESP32 は、IoT (モノのインターネット) デバイスの Wi-Fi + Bluetooth 接続用に世界で最も広く使用されているチップの 1 つであるため、バックドアが存在するリスクは非常に高くなります。

ESP32のバックドア

RootedCON でのプレゼンテーションで、Tarlogic の研究者は Bluetooth のセキュリティ研究への関心が低下しているが、それはプロトコルやその実装がより安全になったからではないと説明した。

それどころか、昨年発表された攻撃の大半には機能するツールがなく、主流のハードウェアと互換性がなく、現代のシステムとはほとんど互換性のない、時代遅れまたはメンテナンスされていないツールが使用されていました。

Tarlogic は、オペレーティング システム固有の API に依存せずにハードウェアに直接アクセスできる、C ベースでハードウェアに依存しないクロスプラットフォームの新しい USB Bluetooth ドライバーを開発しました。

Bluetooth トラフィックへの生のアクセスを可能にするこの新しいツールを活用して、Tarlogic は ESP32 Bluetooth ファームウェアに隠されたベンダー固有のコマンド (オペコード 0x3F) を発見し、Bluetooth 機能の低レベル制御を可能にしました。

合計で、メモリ操作 (RAM およびフラッシュの読み取り/書き込み)、MAC アドレスのスプーフィング (デバイスのスプーフィング)、および LMP/LLCP パケットのプッシュに悪用される可能性のある、総称して「バックドア」と呼ばれる、文書化されていないコマンドが 29 個見つかりました。この問題は現在、識別子 CVE-2025-27840 で追跡されています。

潜在的なリスク

これらのコマンドから生じるリスクには、OEM レベルでの悪意のある展開やサプライ チェーン攻撃などがあります。

Bluetooth スタックがデバイス上の HCI コマンドを処理する方法によっては、悪意のあるファームウェアまたは偽装された Bluetooth 接続を介してリモート バックドア攻撃が行われる可能性があります。

これは、攻撃者がすでにルートアクセス権を持っていたり、マルウェアをインストールしたり、デバイスに悪意のあるアップデートをプッシュして低レベルのアクセスを可能にしたりした場合に特に当てはまります。

ただし、一般的に、デバイスの USB または UART インターフェイスに物理的にアクセスすることは、はるかに危険であり、より現実的な攻撃シナリオとなります。

「ESP32チップを搭載したIoTデバイスを侵害できるシナリオでは、ESPメモリにAPT（Advanced Persistent Threat）を隠し、他のデバイスに対してBluetooth（またはWi-Fi）攻撃を実行できると同時に、Wi-Fi / Bluetooth経由でデバイスを制御することも可能になる」とチームは説明している。 「私たちの発見により、ESP32チップを完全に制御し、RAMとフラッシュメモリの変更を可能にするコマンドを通じてチップ内に永続性を維持することが可能になります。さらに、チップ内に永続性があれば、ESP32は高度なBluetooth攻撃を可能にするため、他のデバイスへの拡散も可能になります。 」

WebTech360ではこの問題に関する情報を今後も更新していきますので、ご注目ください。