Los auriculares inalámbricos Dime 3 de Skullcandy tienen una vulnerabilidad de Bluetooth que puede aceptar una solicitud de emparejamiento de un dispositivo desconocido sin que el propietario haga nada, según el Carnegie Mellon University's CERT Coordination Center.
La conexión resultante es permanente. La única notificación es el mensaje de voz “new device paired”, que se reproduce después de que el emparejamiento ya ha ocurrido y no requiere ninguna interacción del usuario. El aviso fue redactado por Bob Kemerer, de CERT/CC, y reconoce al investigador Jacob Nowak, quien describió el problema en la lista de correo Full Disclosure a comienzos de agosto.
Skullcandy corrigió el fallo en las unidades con la versión de firmware 1.0.0.28 mediante el lanzamiento de la versión 1.0.0.30. Sin embargo, CERT afirma que aparentemente no existen métodos accesibles para los consumidores para actualizar los auriculares existentes, ya que, según se informa, la aplicación complementaria no admite actualizaciones de firmware. Por ello, la corrección parece limitarse a las unidades fabricadas recientemente.
La vulnerabilidad CVE-2025-20701 afecta a los sistemas en chip Bluetooth de Airoha y fue divulgada por los investigadores de ERNW Dennis Heinze y Frieder Steinmetz en junio de 2025. MediaTek le asignó una puntuación de gravedad de 6.7, mientras que CISA le otorgó posteriormente 8.8 y la clasificó como alta. Su explotación podría permitir grabaciones mediante los micrófonos; los escenarios más avanzados requerirían otros exploits, conocimientos técnicos, estar a pocos metros y tener Bluetooth activado en un teléfono inteligente emparejado.
Comentarios
0Aún no hay comentarios. Escribe el primero.