Prodotti interessati e correzioni
La maggior parte degli orologi e dei ciclocomputer COROS (funzione di download del firmware tramite WLAN); versione testata: PACE 3 ≤ 3.0808.0. Correzione: aggiornare il firmware dell'orologio alla versione ufficiale contenente la patch di sicurezza.
Descrizione della vulnerabilità e impatto
L'orologio utilizza HTTP non crittografato per scaricare i file del firmware tramite WLAN, lasciando la comunicazione priva di crittografia. Un attaccante sulla stessa rete può intercettare i contenuti scaricati ed eseguire un attacco man-in-the-middle.
Misure di mitigazione
Aggiornare il firmware dell'orologio all'ultima versione e utilizzare una rete attendibile per gli aggiornamenti del firmware. Non procurarsi né installare firmware tramite reti non attendibili o canali non ufficiali.
Ringraziamenti
Ringraziamo il seguente ricercatore per il suo contributo alla sicurezza dei prodotti:
- Moritz Abrell (SySS GmbH)
Cronologia delle revisioni
v1.0 ｜ 2026-10-13