Produits concernés et correctifs
La plupart des montres et compteurs de vélo COROS ; version testée : PACE 3 ≤ 3.0808.0. Correctif : mettre à jour le firmware de la montre vers la version officielle contenant le correctif de sécurité.
Description de la vulnérabilité et impact
Lorsqu'aucun appareil n'est connecté, la montre émet activement des annonces Bluetooth, permettant à tout attaquant à portée d'établir une connexion BLE. Une fois la connexion établie, aucun service ni aucune caractéristique Bluetooth ne nécessite d'authentification ni de niveau de sécurité. Un attaquant peut lire ou modifier les paramètres de l'appareil, envoyer des notifications, rétablir les paramètres d'usine ou installer des logiciels. L'exploitation nécessite que l'attaquant se trouve à portée Bluetooth et que la montre ne soit connectée à aucun autre appareil.
Mesures d'atténuation
Mettre à jour le firmware de la montre vers la dernière version. Avant la mise à jour, maintenir autant que possible la montre connectée au téléphone et éviter de la laisser déconnectée pendant de longues périodes dans les lieux publics.
Remerciements
Nous remercions l'utilisateur suivant pour sa contribution à la sécurité des produits :
- Moritz Abrell (SySS GmbH)
Historique des révisions
v1.0 ｜ 2026-10-13