W urządzeniach Bluetooth wykorzystujących SoC firmy Airoha Systems wykryto luki, które pozwalają uzyskać kontrolę nad urządzeniem poprzez wysyłanie specjalnie przygotowanych danych przez Bluetooth Classic lub BLE (Bluetooth Low Energy). Atak może zostać przeprowadzony bez autoryzacji i bez wcześniejszego parowania, jeśli urządzenie ofiary znajduje się w zasięgu sygnału Bluetooth (około 10 metrów). Luki dotyczą niektórych modeli bezprzewodowych słuchawek, głośników i mikrofonów od firm Sony, Marshall, Beyerdynamic oraz mniej znanych producentów.
Badacze, którzy wykryli lukę, byli w stanie przygotować prototyp narzędzi, które umożliwiają zdalne czytanie i zapisywanie danych w pamięci RAM i Flash. W praktyce, pełny dostęp do pamięci słuchawek może być wykorzystany do ataku na sparowany z nimi smartfon użytkownika. W szczególności wspomniano, że poprzez interakcję słuchawek ze smartfonem można uzyskać dostęp do zawartości książki adresowej, wydobyć historię połączeń, wykonywać połączenia oraz podsłuchiwać rozmowy lub dźwięki rejestrowane przez mikrofon.
Do interakcji ze smartfonem z skompromitowanych słuchawek wykorzystywana jest funkcjonalność profilu Bluetooth HFP (Hands-Free Profile), która pozwala na wysyłanie poleceń do smartfona. Z uwagi na złożoność wykorzystania luk można przypuszczać, że problemy będą wykorzystywane do przeprowadzania ukierunkowanych ataków na konkretne osoby, a nie do masowego stosowania przeciwko zwykłym użytkownikom. Problem polega na tym, że narzędzie do przeprowadzenia ataku musi być zaimplementowane dla każdego osobnego modelu słuchawek, ponieważ konieczne jest uwzględnienie różnic w układzie pamięci w każdym firmware.
Przeprowadzenie ataku jest możliwe dzięki odkryciu trzech luk w stosie Bluetooth Airoha. Luki CVE-2025-20700 i CVE-2025-20701 pozwalają na nawiązanie kanału komunikacyjnego z Bluetooth BR/EDR (Bluetooth Classic) oraz usługami GATT (Bluetooth Low Energy) bez przechodzenia przez autoryzację, a luka CVE-2025-20702 pozwala na wykorzystanie specyficznego dla SoC Airoha rozszerzonego protokołu do manipulowania urządzeniem. Badacze odkryli, że serwisowy rozszerzony protokół, umożliwiający między innymi czytanie i zapisywanie danych w pamięci RAM i Flash, jest dostępny bez parowania urządzeń przez BLE GATT lub Bluetooth Classic RFCOMM.
Informacje o wykrytych lukach zostały wysłane do firmy Airoha 25 marca, ale odpowiedź udało się uzyskać dopiero 27 maja po kilku próbach skontaktowania się z Airoha oraz zaangażowania niektórych producentów urządzeń. 4 czerwca firma Airoha rozpoczęła dystrybucję zaktualizowanego SDK wśród producentów, które zawiera możliwości blokowania luk. Pod koniec czerwca, po upływie 90 dni od wysłania informacji o problemie, badacze opublikowali ogólne informacje o lukach, ale postanowili na razie nie ujawniać szczegółów dotyczących problematycznego protokołu, aby dać producentom dodatkowy czas na wprowadzenie aktualizacji oprogramowania.
Urządzenia, w których potwierdzono występowanie rozważanych luk:
- Beyerdynamic Amiron 300;
- Bose QuietComfort Earbuds;
- EarisMax Bluetooth Auracast Sender;
- Jabra Elite 8 Active;
- JBL Endurance Race 2, JBL Live Buds 3;
- Jlab Epic Air Sport ANC;
- Marshall ACTON III, MAJOR V, MINOR IV, MOTIF II, STANMORE III, WOBURN III;
- MoerLabs EchoBeatz;
- Sony CH-720N, Link Buds S, ULT Wear, WF-1000XM3/4/5, WF-C500, WF-C510-GFP, WH-1000XM4/5/6, WH-CH520, WH-XB910N, WI-C100;
- Teufel Tatws2.
Źródło: opennet.ru
