Betroffene Produkte und Behebung
Die meisten COROS-Uhren und Fahrradcomputer; getestete Version: PACE 3 ≤ 3.0808.0. Behebung: Aktualisiere die Uhren-Firmware auf die offizielle Version mit dem Sicherheitspatch.
Beschreibung und Auswirkungen
Beim Bluetooth-Pairing gibt das Gerät an, keine Ein- oder Ausgabemöglichkeiten zu besitzen. Dadurch wird das Pairing-Verfahren Just Works ohne Authentifizierung verwendet. Ein Angreifer in Bluetooth-Reichweite kann einen Man-in-the-Middle-Angriff durchführen und ohne Berechtigung mit dem Gerät interagieren. Zur Ausnutzung muss sich der Angreifer innerhalb der Bluetooth-Kommunikationsreichweite befinden.
Maßnahmen zur Risikominderung
Aktualisiere die Uhren-Firmware auf die neueste Version. Wähle für das erstmalige Pairing eine sichere, nicht öffentliche Umgebung und vergewissere dich, dass die Uhr mit deinem eigenen Smartphone und der COROS App verbunden ist.
Danksagung
Wir danken dem folgenden Sicherheitsforscher für seinen Beitrag zur Produktsicherheit:
- Moritz Abrell (SySS GmbH)
Änderungsverlauf
v1.0 ｜ 13.10.2026