Bluetooth SIG 关于 "Bluetooth Mesh 供应中的冒名攻击 "漏洞的声明
国家信息系统安全局（ANSSI）的研究人员和普渡大学的研究人员独立发现了一个与Bluetooth® Mesh 配置文件 规格1.0和1.0.1版本中的配置有关的安全漏洞。这两组研究人员都发现，不知道AuthValue的攻击者有可能欺骗正在配置的设备，使用伪造的响应来显示拥有AuthValue，并获得有效的NetKey和潜在的AppKey。
为了使这种攻击成功，攻击设备需要在Mesh 供应者的无线范围内，并且要么欺骗正在空中供应的设备的身份，要么直接供应到由供应者控制的子网。在成功地进行了没有AuthValue的认证后，攻击者可以执行任何允许子网中配置的节点的操作，直到它被拒绝访问或形成一个没有攻击节点的新子网。
Bluetooth SIG ，建议有潜在漏洞的mesh 供应者限制认证程序，不接受来自远程对等体的供应随机数和供应确认数与本地设备选择的数字相同。
同时，我们也Bluetooth SIG 在广泛地与我们的会员 公司沟通这个漏洞的细节及其补救措施，并鼓励他们迅速整合任何必要的补丁。 一如既往，Bluetooth 用户应确保他们已经安装了设备和操作系统制造商推荐的最新更新。
详情请参考CERT协调中心的声明。