谷歌和英特爾警告說，除了最新版本的Linux內核外，其他所有版本的Linux內核都存在高嚴重性藍牙漏洞。谷歌的一位研究人員表示，該漏洞允許攻擊者在藍牙范圍內無縫執行代碼，而英特爾則將該漏洞定性為提供特權升級或信息泄露。

該缺陷存在于BlueZ中，BlueZ是默認實現Linux所有藍牙核心協議和層的軟件棧。除了Linux筆記本電腦，它還被用于許多消費或工業物聯網設備。它適用于Linux 2.4.6及以后的版本。

到目前為止，人們對所謂的BleedingTooth漏洞知之甚少，這是谷歌工程師Andy Nguyen給出的名字，他表示將很快發表一篇博客文章。一個Twitte推文和一個YouTube視頻提供了最詳細的信息，給人的印象是，這個漏洞為附近的攻擊者提供了一種可靠的方式，可以在使用BlueZ進行藍牙的脆弱Linux設備上執行他們選擇的惡意代碼。

研究人員表示，BleedingTooth是Linux藍牙子系統中的一組零點擊漏洞，可以讓未經認證的遠程攻擊者在短距離內在易受攻擊的設備上執行具有內核權限的任意代碼。與此同時，英特爾發布了一份公告，將該漏洞歸類為特權升級或信息泄露漏洞，并且給這份編號CVE-2020-12351的漏洞分配了8.3分（滿分10分）的嚴重性，該漏洞是構成BleedingTooth的三個不同的漏洞之一。

英特爾表示，BlueZ中的潛在安全漏洞可能允許特權升級或信息泄露，BlueZ正在發布Linux內核修復程序來解決這些潛在的漏洞。英特爾是BlueZ開源項目的主要貢獻者，它表示，修補漏洞的最有效方法是更新到Linux內核5.9版本，該版本已于周日發布。無法升級到5.9版本的用戶可以安裝一系列內核補丁。

但是，拋開細節的缺乏不談，人們沒有太多的理由去擔心這樣的漏洞。像幾乎所有的藍牙安全漏洞一樣，BleedingTooth攻擊者需要接近一個脆弱的設備。它還需要高度專業化的知識，并且只對世界上一小部分藍牙設備有效。這些限制大大減少了能夠成功實施攻擊的人數。
責任編輯：YYX