关键漏洞信息 漏洞标题 CVE-2025-67133: 通过未认证的BLE连接导致的拒绝服务 影响产品 产品：Hero MotoCorp VIDA V1 Pro 固件版本：2.0.7 严重程度 5.3 - 中等（CVSS v4.0） 受影响的组件 固件2.0.7 BLE连接处理逻辑 BLE认证/绑定流程 技术描述 该漏洞源于设备接受未认证的BLE连接。一个恶意设备可以在没有配对或绑定的情况下与滑板车建立BLE连接，占用BLE会话插槽，阻止合法应用程序建立连接。这将导致用户暂时出现拒绝服务（DoS）。 证明概念 (PoC) 重现步骤 1. 打开nRF Connect Android应用程序。 2. 扫描附近的BLE设备并定位HMC_8810（VIDA V1 Pro）。 3. 点击连接——连接建立时无需认证。 4. 现在打开My VIDA应用程序并尝试连接。 - 设备不再出现或被报告为不可用。 证据/输出 1. 通过nRF Connect发现的BLE设备。 2. 设备名称特征可见和可写（0x2A00）。 3. My VIDA应用程序无法找到或连接到滑板车。 利用条件 攻击可能发生在以下情况： 滑板车BLE模块未连接到任何官方应用程序。 攻击者在BLE范围内（约10米）。 不需要事先配对或认证。 影响分析 安全影响 保密性：无 完整性：无 可用性：低（DoS - 暂时） 攻击者能力 攻击者可以： 连接到滑板车BLE模块 阻止合法用户连接 暂时中断基于应用程序的交互 此攻击不会授予代码执行、数据访问或永久控制。 CVSS评分 (v4.0) CVSS:4.0/AV:A/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N 基础评分：5.3（中等） 建议修复 滑板车应强制： BLE配对/绑定，或 认证连接检查 防止未经授权/未配对设备连接 要求官方应用程序在建立BLE会话之前进行身份验证 此外： 拒绝未配对连接 立即关闭受攻击或未经授权的连接。