Центърът за координация на CERT към Университета „Карнеги Мелън“ (CERT/CC) предупреждава, kwamba безжичните слушалки Skullcandy Dime 3 приемат заявки за Bluetooth сдвояване от близки несдвоени устройства без необходимост от взаимодействие с потребителя.

Устройствата с версия на фърмуера 1.0.0.28 са засегнати от уязвимост с висока степен на опасност, проследявана като CVE-2025-20701 в Airoha Bluetooth Audio SDK, който Skullcandy Dime 3 (модел S2DCW) използва за управление на безжичната свързаност и комуникацията между слушалките и свързаните устройства.

Въпреки че Skullcandy заявява, че проблемът със сигурността е коригиран във версия на фърмуера 1.0.0.30, обикновените потребители нямат метод за обновяване на устройствата си – нито ръчно, нито чрез приложението Skullcandy.

Атакуващ в непосредствена близост до засегнатото устройство може да се свърже през Bluetooth без PIN код за сдвояване, физически достъп до кутията на слушалките или одобрение на заявката за сдвояване.

Уязвимостта CVE-2025-20701 бе открита от изследователи от ERNW и представена на конференцията за киберсигурност TROOPER миналата година.

Тя представлява проблем с липсваща автентификация с висока степен на опасност, който засяга широк спектър от слушалки на множество производители.

Airoha публикува актуализации на SDK за отстраняване на уязвимостта на 4 август 2025 г., а производителите на слушалки последващо приеха корекциите за сигурност, за да премахнат рисковете.

Apple отстрани уязвимостта за своите Beats Studio Buds чрез обновяване на фърмуера, пуснато през юни тази година.

Skullcandy Dime 3 са безжични Bluetooth слушалки, които са много популярни сред младите потребители, търсещи достъпни продукти с нагласен към басите звук и дълъг живот на батерията.

След получаване на сигнал от изследователя Джейкъб Новак, CERT/CC установи, че CVE-2025-20701 засяга Skullcandy Dime 3, работещи с фърмуер версия 1.0.0.28.

След сдвояване устройството на атакуващия става доверено и може автоматично да се свързва отново, когато е наблизо, което му позволява да прекъсва връзката на собственика, да прихваща възпроизвеждането на аудио, да осъществява достъп до профила на слушалките и да записва звук от микрофона на живо.

Жертвата може да чуе известие за „сдвоено ново устройство“, след като нелегитимното сдвояване е осъществено, но това лесно може да бъде пропуснато или отхвърлено като моментно загубване на връзката, последвано от повторно свързване.

Skullcandy пусна коригиращо обновяване за CVE-2025-20701 във версия на фърмуера 1.0.0.30; въпреки това CERT/CC отбелязва, че потребителите, закупили слушалките с по-ранна версия на фърмуера, нямат начин да надградят до безопасна версия.

„Съществуващите устройства, работещи с уязвимия фърмуер, към момента не могат да бъдат обновени от клиентите през приложението“, обяснява бюлетинът за сигурност.

„Към момента на писане на настоящия текст не са известни достъпни за потребителите методи за обновяване на съществуващо устройство от засегнатата версия 1.0.0.28 до версия 1.0.0.30.“

BleepingComputer не успели да се свържат с Skullcandy относно невъзможността на потребителите на Dime 3 да обновят до безопасна версия на фърмуера, тъй като чатботът на компанията не обработва запитвания от пресата.

След като киберпрестъпниците получат валидни данни за достъп, едва 37% от действията им биват блокирани

Общите оценки за превенция могат да скрият какво се случва след първоначалния достъп. След като киберпрестъпниците започнат да използват валидни данни за достъп, превенцията рязко спада.

Докладът Blue Report 2026 измерва защитите техника по техника чрез 338 милиона симулации, проведени в производствени среди на клиенти.