近日，SkySafe 软件工程师 Marc Newlin 披露了一个蓝牙安全漏洞 CVE-2023-45866。该漏洞涉及苹果的 macOS 和 iOS/iPadOS 操作系统，有可能让黑客利用蓝牙键盘发动注入攻击。
Marc Newlin 表示，他在今年 8 月就已发现这个漏洞并提交给了苹果公司，但苹果公司直到现在都未能修复这一问题，因此他决定公开这个漏洞。
CVE-2023-45866 漏洞主要影响到那些配备了 MagicKeyboard（妙控键盘）的设备。黑客可以利用此漏洞绕过用户的确认步骤，使系统以为黑客伪造的蓝牙输入源是已经配对的妙控键盘，从而允许黑客直接连接到目标主机，远程接管用户的键盘，并输入任意的按键指令。
Marc Newlin 表示，CVE-2023-45866 的出现主要是因为蓝牙协议的底层存在漏洞。由于底层配对机制不需要经过身份验证，黑客便能够通过伪造配对协议来欺骗受害者设备，让设备接收来自黑客的输入信息。
