Zebra에 연락하기

채팅하기

연결을 설정 중입니다. 연결하는 동안 잠시 기다려 주십시오.

새롭게 개선된 지원 및 다운로드 페이지를 이제 공개합니다! 고객 여러분의 질문에 귀를 기울였습니다. 이 업데이트에 대해 자세히 알아보려면 지원 및 다운로드 경험 페이지를 방문하세요.

출혈비트 보안 취약점

자세한 내용은 다음을 참조하십시오.

모든 Zebra 보안 경고

Zebra 위치 기술

아르니스 보안 웹사이트

CVE-2018-16986: 원격 제어 악용

CVE-2018-7080: OAD 악용

Zebra는 이 취약점이 적극적으로 악용된 사례를 발견한 바가 없습니다. 그러나 악용 위험 경감 차원에서, 영향이 있는 두 Zebra 제품의 소프트웨어를 업데이트할 것을 권장합니다. 추가 LifeGuard 업데이트는 없습니다.

BLEEDINGBIT is a security vulnerability that affects Bluetooth® low energy (BLE) chips made by Texas Instruments. It consists of two related remote-control exploit issues:

A memory corruption condition (CVE-2018-16986) that can occur during processing of incorrect network traffic from the BLE module. A malicious actor who is close to the target device could execute arbitrary code by sending malformed data, or execute a DoS (denial-of-service) condition which could shut down the device.

An Over-The-Air Download (OAD) functionality issue (CVE-2018-7080) that can be triggered only when the relevant BLE radio function is enabled by the device owners (it is disabled by default). A malicious actor could push altered copies of these images to gain control of the device.

영향을 받는 제품

Only the following two BLE badge products are affected. Zebra mobile devices, handheld devices, barcode scanners and printers are not impacted.

Zebra 제품 SKU	설명	업데이트 가능
GE-MB6000-01-WR	모바일 BLE 배지	1월 2019일
GE-MB5000-01-WR	고정 BLE 배지	1월 2019일

Only the above Zebra devices are impacted by CVE-2018-16986 only and CVE-2018-7080 does not apply since the OAD feature in the Texas Instruments’ (TI) CC2640 BLE chip is disabled. The Zebra devices have an STMicroelectronics Microcontroller Unit (MCU) and BLE chip CC2640. The MCU firmware is written on CYPRESS WICED SDK. The firmware of the TI CC2640 is based on TI’s BLE SDK 2.1. The MCU connects to the CC2640 via a UART port. The MCU sends BLE HCI commands to the CC2640, the CC2640 does the BLE scanning continuously, and the CC2640 returns the scanned BLE packets in a predefined format to MCU.

During the scanning process, there is possible memory corruption in the CC2640 per CVE-2018-16986. If the CC2640 is exploited, it may send garbage data over the UART port to the MCU. The MCU may or may not discard the data, depending on the data itself. In this manner, the badge could become useless as there is no valid BLE packet data to collect inside the MCU.

If an attacker wants to gain full control of the device the attacker needs to first gain control of the MCU. The attacker would need to find an enabling vulnerability in WICED SDK and the STM MCU as well. The hacker would then need to attack the MCU through the exploited CC2640 chip via the UART port. The possibility of exploiting the MCU (achieved in conjunction with the exploitation of undiscovered vulnerabilities in both the Wicked SDK and the STM MCU) to gain full control over the device is relatively low.

To avoid the potential of this vulnerability, Zebra must port the CC2640 firmware code to the TI BLE SDK 2.2.2. For new device this updated CC2640 firmware code can be used. For deployed devices the updated CC2640 firmware can be updated over-the-air through the MCU where the MCU pushes the new firmware to CC2640 via UART port.

면책 조항: Zebra는 구글에서 해당 보안 공지를 릴리스하는 시점에 대한 보안 업데이트를 릴리스하려고 모든 노력을 합니다. 그러나 보안 업데이트 실행 시간은 지역, 제품 모델, 타사 소프트웨어 공급업체에 따라 달라질 수 있습니다. 경우에 따라 보안 업데이트 설치 전에 OS를 최신 유지관리 릴리스로 업데이트해야 합니다. 개별 제품 업데이트에서 구체적인 지침을 제공합니다.

달리 명시되지 않는 한, 새로 보고된 문제로부터 의한 적극적인 고객 착취 또는 남용에 대한 보고는 없었습니다.

Zebra Technologies 제품의 잠재적인 보안 문제를 알고 있습니까?

보안 문제 보고

법률 이용 약관 개인정보 처리방침 공급망 투명성

출혈비트 보안 취약점

영향을 받는 제품

안드로이드용 LifeGuard

준수

추가 지원 리소스

연락처

서비스