Debian DSA-4647-1 : bluez - セキュリティ更新プログラム

high Nessus プラグイン ID 134984

Language:

概要

リモートのDebianホストにセキュリティ関連の更新プログラムがありません。

説明

BlueZのHIDおよびHOGPプロファイル実装において、デバイスとホストの間の結合が特に必要とされないことが報告されました。
悪意のあるデバイスがこの欠陥を利用することにより、ターゲットホストに接続し、セキュリティ保護なしで既存のHIDデバイスになりすましたり、SIDまたはGATTサービス検出を発生させたりし、それによりHIDレポートが非結合ソースから入力サブシステムにインジェクションされる可能性があります。

HIDプロファイルに対して、結合デバイス接続からは入力接続のみが来るようにするための新しい構成オプション（ClassicBondedOnly）が導入されました。デバイスの互換性を最大化するため、それらのオプションはデフォルトで「false」に設定されています。

ソリューション

bluezパッケージをアップグレードしてください。

旧安定版（oldstable）ディストリビューション（stretch）では、この問題はバージョン5.43-2+deb9u2で修正されています。

安定版（stable）ディストリビューション（buster）では、この問題はバージョン5.50-1.2~deb10u1で修正されています。