Уязвимость CVE-2026-109570 в прошивке смарт-часов Fire-Boltt BSW013 позволяет внедрять поддельные уведомления по BLE
В прошивке смарт-часов Fire-Boltt BSW013 (версии до V0.0.8 включительно) обнаружена уязвимость отсутствия аутентификации при работе с проприетарной BLE-характеристикой команд. Атакующий в радиусе действия Bluetooth может отправлять произвольные уведомления на часы без сопряжения, вызывая вибрацию и отображение поддельного текста — например, для фишинга. Уязвимость評価ена как средняя (CVSS 5.3).
Подробности
Уязвимость классифицируется как отсутствие аутентификации (missing authentication) и имеет базовую оценку CVSS 5.3 (MEDIUM). Атака возможна без предварительного сопряжения: злоумышленник, находящийся в зоне действия Bluetooth, может подключиться к проприетарной BLE-характеристике команд часов и записать в неё специально сформированные команды. Единственным механизмом целостности, который при этом проверяется, является контрольная сумма CRC-16/ARC — она не обеспечивает ни аутентификации отправителя, ни защиты от подделки, поскольку легко рассчитывается для любого произвольного набора данных. Успешная эксплуатация позволяет вызвать вибрацию часов и вывести на экран произвольный текст уведомления. Сам по себе этот эффект не даёт атакующему доступа к данным пользователя или управления устройством, однако открывает широкие возможности для социальной инженерии: поддельные уведомления могут имитировать сообщения банка, мессенджера или системного сервиса и подталкивать владельца часов к переходу по фишинговой ссылке, звонку «в поддержку» или вводу учётных данных. Отдельно стоит отметить, что атака не требует физического контакта с устройством — достаточно находиться в радиусе действия Bluetooth, что делает её применимой в общественных местах. Затронуты модели Fire-Boltt BSW013 с прошивкой до V0.0.8 включительно. Сведения о других продуктах вендора в записи CVE не приводятся.Что делать
Основная рекомендация — проверить наличие обновления прошивки для Fire-Boltt BSW013 у производителя и установить его. Если исправленная версия недоступна, следует рассмотреть следующие компенсационные меры: - отключать Bluetooth на часах, когда они не синхронизируются с телефоном, особенно в людных местах; - не переходить по ссылкам и не совершать действий по указанию из уведомлений, которые вызывают сомнение, — проверять информацию через официальное приложение или банк; - ограничить радиус носимости: не оставлять часы без присмотра в местах скопления людей; - следить за публикациями производителя и записями CVE по данному продукту на предмет выхода патча; - для организаций — учитывать риск при использовании таких устройств в корпоративной среде и при необходимости ограничить их применение в чувствительных сценариях. Следует также помнить, что ношение смарт-часов рядом с корпоративными системами аутентификации (например, при использовании BLE-токенов или push-подтверждений) повышает ценность подобных атак, поэтому пользователям стоит быть особенно внимательными к любым неожиданным уведомлениям. Итог: уязвимость CVE-2026-109570 не даёт прямого доступа к данным, но превращает часы в удобный канал для фишинга. До выхода исправленной прошивки единственной надёжной защитой остаются бдительность пользователя и отключение Bluetooth в неконтролируемой среде.Источник: CVE Project (cvelistV5)