Prodotti interessati e correzioni
App COROS per Android ≤ V3.8.12 (interessa le comunicazioni con tutti i modelli di orologio associati all'app). Correzione: aggiornare l'app Android all'ultima versione e aggiornare anche il firmware dell'orologio.
Descrizione e impatto
L'app non avvia né impone l'associazione (pairing) o il legame persistente (bonding), e neppure l'orologio impone la crittografia del collegamento. I dati trasmessi tramite Bluetooth non sono quindi protetti dalla crittografia. Un attaccante nel raggio d'azione può intercettare le comunicazioni in chiaro e potrebbe ascoltarle o modificarle tramite un attacco man-in-the-middle.
Misure di mitigazione
Aggiornare sia l'app COROS sia il firmware dell'orologio alle ultime versioni. Prima di completare gli aggiornamenti, si consiglia di associare il dispositivo in un ambiente sicuro e non pubblico e di evitare di connetterlo per la prima volta in luoghi pubblici.
Ringraziamenti
Ringraziamo il seguente ricercatore per il suo contributo alla sicurezza dei prodotti:
- Moritz Abrell (SySS GmbH)
Cronologia delle revisioni
v1.0 ｜ 2026-10-13