Через Bluetooth-колонку без пароля перепрошили клавиатуру — вендор: «это не уязвимость»

Колонка, которую можно взломать, не прикасаясь к ней

Исследователь в подробном разборе показал цепочку уязвимостей в саундбаре Creative Sound Blaster Katana V2X — устройстве, которое миллионы людей просто втыкают в USB ради звука.

Что именно он сломал: CTP, статический ключ и SHA-256 вместо подписи

Устройство управляется проприетарным протоколом CTP (все команды начинаются с байта 0x5a). Через Ghidra автор выяснил: прошивка вообще не проверяется цифровой подписью — только тривиальной SHA-256-контрольной суммой. Challenge-response в CTP есть, но ключ статический и извлекается прямо из бинарников фирменного приложения Creative. Ключевая ошибка: один и тот же интерфейс CTP выставлен и по USB, и по Bluetooth — но по BLE он не требует авторизации вообще.

Дальше дело техники: автор добавил к существующему Consumer Control-устройству HID-дескриптор клавиатуры, впихнул 102 байта ARM-ассемблера в неиспользуемую диагностическую задачу и залил всё по воздуху через BLE Python-скриптом (около 10 минут). Саундбар, подключённый к ПК по USB, начал представляться доверенной клавиатурой и набирать команды в терминале хозяина. А поскольку в нём есть микрофон — его же можно превратить в подслушивающее устройство.

«Это не уязвимость»: ответ Creative

Самое громкое в этой истории — не сам эксплойт, а реакция производителя. После двух месяцев переписки через SingCERT Creative ответила, что патчить не будет.

«Письмо от SingCERT гласит, что вендор "не считает это уязвимостью, так как риска кибербезопасности нет". То есть беспроводная запись произвольной прошивки на чужое устройство, подключённое по USB к компьютеру, даже без сопряжения — это не дыра в безопасности. Ага» — инженер из треда, процитировавший письмо вендора

Основатель и инвестор с 25+ годами в кибербезопасности объяснил, откуда берётся такой паттерн:

«Производители устройств часто начинают с железа, а софт прикручивают как мысль вдогонку, не заботясь о безопасности и жизненном цикле обновлений. Бывает, что бренд отдаёт софт случайному мелкому разработчику, который потом закрывается — и у компании нет даже исходников» — CTO/основатель, 25+ лет в кибербезопасности

Не сложный взлом, а открытая дверь

Часть треда спорила, насколько это страшно. Один из читателей расставил акценты:

«Смешно видеть комментаторов, которые не дочитали статью. По сути это Bluetooth-эквивалент "оставили S3-бакет открытым для всех". То, что устройство по USB превращается в эмулятор клавиатуры, который открывает локальный терминал и выполняет вредную команду — забавно. Терминал будет без админских прав, но на Windows пользователи прокликивают любой UAC-запрос, так что на многих машинах получишь полный доступ» — читатель, разобравший модель угрозы

Другие пошли дальше: инвестор и Ethereum security researcher напомнил, что гарантированный аудиоканал позволяет ещё и эксфильтровать данные через звук, а кто-то предложил очевидный сценарий — Mossad, скупающий все Bluetooth-устройства на рынке ради таких эксплойтов. Вывод треда жёсткий: при таком ответе вендора это не баг, а bugdoor — желаемое поведение, а не случайность. Исправление в итоге выпустил сам автор: сторонний патчер, отключающий дырявый транспорт. Он, по его же словам, ломает и часть функций официального приложения — но без сотрудничества Creative это лучшее, что можно сделать.