התקפה באמצעות אוזניות בלוטות' של סוני, מרשל ו-Beyrdynamic על שבבי Airoha

זוהו פגיעויות במכשירי בלוטות' המשתמשים ב-SoCs של Airoha Systems המאפשרים לתוקף להשתלט על המכשיר על ידי שליחת נתונים שנוצרו במיוחד דרך Bluetooth Classic או BLE (Bluetooth Low Energy). ניתן לבצע את ההתקפה ללא אימות וללא צימוד מוקדם, בתנאי שהמכשיר של הקורבן נמצא בטווח של אות הבלוטות' (כ-10 מטרים). הפגיעויות משפיעות על דגמים מסוימים של אוזניות, רמקולים ומיקרופונים אלחוטיים של סוני, מרשל, Beyerdynamic וחברות פחות מוכרות.

החוקרים שזיהו את הפגיעות הצליחו להכין אב טיפוס של ערכת כלים המאפשרת קריאה וכתיבה מרחוק של נתונים לזיכרון RAM ולזיכרון Flash באמצעות Bluetooth. בפועל, קבלת גישה מלאה לזיכרון האוזניות יכולה לשמש כדי לתקוף את הטלפון החכם של המשתמש המחובר לאוזניות. בפרט, צוין כי באמצעות אינטראקציה של האוזניות עם הטלפון החכם, ניתן לגשת לתוכן פנקס הכתובות, לחלץ את היסטוריית השיחות, לבצע שיחות ולהאזין לשיחות או לצלילים הנקלטים על ידי המיקרופון.

כדי לתקשר עם הסמארטפון מהאוזניות שנפגעו, נעשה שימוש ביכולות של פרופיל ה-Bluetooth HFP (Hands-Free Profile), המאפשר שליחת פקודות לסמארטפון. בשל מורכבות ניצול הפגיעויות, ניתן להניח שהבעיות יהיו מבוקשות עבור התקפות ממוקדות על אנשים ספציפיים, ולא לשימוש המוני נגד משתמשים רגילים. הבעיה היא שהכלים לביצוע ההתקפה חייבים להיות מיושמים עבור כל דגם בנפרד של אוזניות, מכיוון שיש צורך לקחת בחשבון את ההבדלים בפריסת הזיכרון בכל קושחה.

ההתקפה אפשרית עקב שלוש פגיעויות במחסנית הבלוטות' של Airoha. פגיעויות CVE-2025-20700 ו-CVE-2025-20701 מאפשרות יצירת ערוץ תקשורת עם שירותי Bluetooth BR/EDR (Bluetooth Classic) ו-GATT (Bluetooth Low Energy) ללא אימות, ופגיעות CVE-2025-20702 מאפשרת שימוש בפרוטוקול מורחב ספציפי ל-Airoha SoC כדי לתפעל את המכשיר. החוקרים מצאו שפרוטוקול השירות המורחב, המאפשר, בין היתר, קריאה וכתיבה של נתונים ל-RAM ול-Flash, זמין ללא צימוד התקנים דרך BLE GATT או Bluetooth Classic RFCOMM.

מידע על הפגיעות נשלח לאיירוהא ב-25 במרץ, אך רק ב-27 במאי התקבלה תגובה לאחר מספר ניסיונות חוזרים ונשנים ליצור קשר עם איירוהא ומעורבות של מספר יצרני מכשירים. ב-4 ביוני, איירוהא החלה להפיץ ערכת פיתוח תוכנה (SDK) מעודכנת ליצרנים שכלל יכולות לחסימת הפגיעויות. בסוף יוני, לאחר שחלפו 90 יום מאז הגשת הבעיה, פרסמו החוקרים מידע כללי על הפגיעויות, אך החליטו לא לחשוף פרטים על הפרוטוקול הבעייתי בשלב זה כדי לתת ליצרנים זמן נוסף להפיץ עדכוני קושחה.

מכשירים שאושרו כבעלי הפגיעויות המדוברות:

• ביירדינמיק אמירון 300;
• אוזניות Bose Quiet Comfort;
• משדר Bluetooth Auracast של EarisMax;
• ג'אברה אליט 8 אקטיבי;
• מרוץ הסיבולת 2 של JBL, אוזניות JBL Live Buds 3;
• Jlab Epic Air Sport ANC;
• Marshall ACTON III, MJOR V, MINOR IV, MOTIF II, STANMORE III, WOBURN III;
• MoerLabs EchoBeatz;
• סוני CH-720N, ‏Link Buds S, ‏ULT Wear, ‏WF-1000XM3/4/5, ‏WF-C500, ‏WF-C510-GFP, ‏WH-1000XM4/5/6, ‏WH-CH520, ‏WH-XB910N, ‏WI-C100;
• טויפל טאטוס2.

מקור: OpenNet.ru