Prodotti interessati e correzioni
La maggior parte degli orologi e dei ciclocomputer COROS; versione testata: PACE 3 ≤ 3.0808.0. Correzione: aggiornare il firmware dell'orologio alla versione ufficiale contenente la patch di sicurezza.
Descrizione e impatto
Durante l'associazione Bluetooth, il dispositivo dichiara di non disporre di funzionalità di input o output, determinando l'utilizzo del metodo Just Works senza autenticazione dell'associazione. Un attaccante nel raggio d'azione del Bluetooth può eseguire un attacco man-in-the-middle e interagire con il dispositivo senza autorizzazione. Per sfruttare la vulnerabilità, l'attaccante deve trovarsi nel raggio di comunicazione Bluetooth.
Misure di mitigazione
Aggiornare il firmware dell'orologio all'ultima versione. Per la prima associazione, scegliere un ambiente sicuro e non pubblico e verificare che l'orologio sia connesso al proprio telefono e all'app COROS.
Ringraziamenti
Ringraziamo il seguente ricercatore per il suo contributo alla sicurezza dei prodotti:
- Moritz Abrell (SySS GmbH)
Cronologia delle revisioni
v1.0 ｜ 2026-10-13