Productos afectados y corrección
La mayoría de los relojes y ciclocomputadores COROS; versión probada: PACE 3 ≤ 3.0808.0. Corrección: actualizar el firmware del reloj a la versión oficial que incluye el parche de seguridad.
Descripción e impacto
Durante el emparejamiento Bluetooth, el dispositivo declara que no tiene capacidades de entrada ni de salida, lo que provoca el uso del método Just Works sin autenticación del emparejamiento. Un atacante dentro del alcance de Bluetooth puede llevar a cabo un ataque de intermediario (man-in-the-middle) e interactuar con el dispositivo sin autorización. Para explotar la vulnerabilidad, el atacante debe encontrarse dentro del alcance de comunicación Bluetooth.
Medidas de mitigación
Actualice el firmware del reloj a la última versión. Para el primer emparejamiento, elija un entorno seguro y no público y compruebe que el reloj esté conectado a su propio teléfono y a la aplicación COROS.
Agradecimientos
Agradecemos al siguiente investigador su contribución a la seguridad de los productos:
- Moritz Abrell (SySS GmbH)
Historial de revisiones
v1.0 ｜ 2026-10-13