Productos afectados y corrección
La mayoría de los relojes y ciclocomputadores COROS; versión probada: PACE 3 ≤ 3.0808.0. Corrección: actualizar el firmware del reloj a la versión oficial que incluye el parche de seguridad.
Descripción de la vulnerabilidad e impacto
Cuando no hay ningún dispositivo conectado, el reloj emite activamente anuncios Bluetooth, lo que permite a cualquier atacante dentro del alcance establecer una conexión BLE. Una vez conectado, ningún servicio ni característica Bluetooth exige autenticación ni un nivel de seguridad. Un atacante puede leer o modificar la configuración del dispositivo, enviar notificaciones, restablecer los valores de fábrica o instalar software. Para explotar la vulnerabilidad, el atacante debe estar dentro del alcance de Bluetooth y el reloj no debe estar conectado a otro dispositivo.
Medidas de mitigación
Actualice el firmware del reloj a la última versión. Hasta completar la actualización, mantenga el reloj conectado al teléfono siempre que sea posible y evite dejarlo desconectado durante periodos prolongados en lugares públicos.
Agradecimientos
Agradecemos al siguiente investigador su contribución a la seguridad de los productos:
- Moritz Abrell (SySS GmbH)
Historial de revisiones
v1.0 ｜ 2026-10-13