CVE-2026-87931: Kritisk fejl i Pavlok-wearable
Kritisk bufferoverløb i Pavlok-wearablets Bluetooth-modul giver fuld kontrol fra lokalt netværk. Ingen opdatering findes.
Hvad er det?
CVE-2026-87931 er et bufferoverløb i Pavlok Behavioral Conditioning Wearable, et adfærdstræningsarmbånd der bruges til at skabe eller bryde vaner via vibration, lyd eller små elektriske impulser. Fejlen sidder i den funktion, der håndterer Apple Notification Center Service (ANCS), en Bluetooth-baseret protokol som armbåndet bruger til at modtage notifikationer fra en tilkoblet iPhone. Et bufferoverløb betyder, at programmet skriver mere data i et hukommelsesområde end det er beregnet til, hvilket kan bruges til at få enheden til at udføre kode angriberen bestemmer. Fejlen kan udnyttes af en angriber, der befinder sig på samme lokale netværk eller inden for Bluetooth-rækkevidde, uden at kende et password og uden at brugeren skal klikke på noget.
Hvem rammer det?
Sårbarheden rammer alle versioner af Pavlok Behavioral Conditioning Wearable op til build 20260707. Det er relevant for virksomheder, der har udleveret enheden som del af et sundheds- eller trivselsprogram, eller hvor medarbejdere selv medbringer den (BYOD). Der er ingen liste over ramte firmwareversioner ud over dette, da leverandøren ikke har oplyst en rettet version.
Hvad kan ske?
En angriber inden for Bluetooth-rækkevidde, for eksempel i et mødelokale, en kantine eller en parkeringsplads, kan udnytte fejlen til at overtage armbåndet, læse notifikationer der sendes fra den tilkoblede telefon, eller få enheden til at fejlfungere. Da enheden er koblet til medarbejderens telefon, kan et kompromitteret armbånd i praksis blive en indgang til at overvåge eller forstyrre den notifikationstrafik, telefonen sender og modtager.
Hvor alvorligt er det?
CVSS-scoren er 9,6 af 10, kritisk. Angrebet kræver ikke login (PR:N) og ingen brugerhandling (UI:N), men angriberen skal være på samme lokale netværk eller inden for Bluetooth-rækkevidde (AV:A), ikke fra internettet. Fortrolighed, integritet og tilgængelighed vurderes alle som høj påvirket, og angrebet kan sprede sig til andre komponenter (Scope: Changed). Der er ingen kendte tegn på aktiv udnyttelse eller offentlig kode, der demonstrerer angrebet.
Hvad gør jeg nu?
Leverandøren har ikke svaret på henvendelser om fejlen, og der findes ingen opdatering. Følgende skridt reducerer risikoen, mens I afventer en løsning.
- Sluk Bluetooth på enheden, eller tag den ud af brug, indtil en rettet firmware findes.
- Sørg for at enheden ikke er koblet til telefoner, der har adgang til virksomhedens netværk eller data.
- Kortlæg hvor mange medarbejdere der bruger enheden som del af et firmaprogram.
- Kontakt leverandøren direkte og bed om en tidshorisont for en rettelse, dokumentér svaret.
- Overvej at udskifte enheden med et alternativ, hvis leverandøren fortsat ikke reagerer.
- Få hjælp udefra, hvis I ikke selv kan vurdere, om enheden har været i kontakt med ukendte netværk.
Ingen opdatering, deaktivér Bluetooth nu
Vi anbefaler, at I stopper brugen af enheden på arbejdspladsen, indtil leverandøren udgiver en rettet firmware. Det er kun forsvarligt at vente, hvis enheden aldrig kobles til Bluetooth i nærheden af andre ukendte enheder, og hvis den ikke er koblet til en telefon med adgang til virksomhedens systemer. Da leverandøren ikke har svaret på henvendelser, bør I ikke regne med en hurtig løsning.
Tidslinje
Konkrete eksempler
Trivselsprogram på en dansk arbejdsplads
En mellemstor virksomhed har indført Pavlok-armbånd som led i et adfærdsprogram for stressreduktion. En person med ondsindede hensigter sætter sig i kantinen med en bærbar computer og et Bluetooth-værktøj, og udnytter fejlen på flere armbånd inden for rækkevidde. Angriberen får adgang til notifikationsdata fra de tilkoblede telefoner og kan forstyrre enhedernes funktion, uden at nogen af medarbejderne bemærker noget usædvanligt.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis nogen i organisationen bruger Pavlok Behavioral Conditioning Wearable, uanset om det er udleveret af virksomheden eller medbragt privat. Spørg i IT eller HR, om enheden er en del af et sundheds- eller trivselsprogram.
Hvordan tjekker vi, om vores enhed er sårbar?
Alle versioner op til build 20260707 er ramt. Tjek build-nummeret i enhedens app eller på selve armbåndet, og sammenlign med denne dato.
Kan vi vente til weekenden med at gøre noget?
Ja, hvis enheden i mellemtiden ikke har Bluetooth aktiveret eller ikke befinder sig i nærheden af ukendte personer eller netværk. Er enheden i daglig brug på kontoret, bør I deaktivere Bluetooth allerede i dag.
Skal vi anmelde dette til en myndighed?
Der er ikke tale om et databrud i sig selv, med mindre enheden faktisk er blevet udnyttet og persondata er kompromitteret. Sker det, skal I vurdere anmeldepligt til Datatilsynet efter de almindelige regler.
Findes der en opdatering fra leverandøren?
Ikke pr. offentliggørelsesdatoen. Leverandøren er kontaktet, men har ikke svaret, og der er ingen udmeldt tidsplan for en rettelse.
Er fejlen udnyttet i praksis?
Der er ingen kendte tilfælde af aktiv udnyttelse eller offentliggjort angrebskode på tidspunktet for offentliggørelsen.
CVSS-detaljer
CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A vulnerability has been found in Behavioral Technology Group Pavlok Behavioral Conditioning Wearable up to 20260707. Impacted is an unknown function of the component Apple Notification Center Service Event Handler. The manipulation leads to buffer overflow. The attack must be carried out from within the local network. The vendor was contacted early about this disclosure but did not respond in any way.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.