Уязвимост в сигурността на безжичните слушалки Skullcandy Dime 3 може да позволи на атакуващи в близост да се сдвояват с устройството без разрешението на собственика, да прихващат аудио възпроизвеждането и потенциално да записват аудио на живо през микрофона.

Проследявана като Vulnerability Note VU#859658, проблемът засяга слушалките Skullcandy Dime 3 (модел S2DCW) с версия на софтуера (firmware) 1.0.0.28.

Уязвимостта беше публично оповестена на 8 септември 2026 г. и е свързана с CVE-2025-20701 — слабост в автентификацията в комплекта за разработка на софтуер (SDK) за Bluetooth аудио на Airoha.

Уязвимостта произтича от незащитено поведение при сдвояване чрез Bluetooth Classic (BR/EDR). Обикновено безжичните слушалки трябва да бъдат нарочно поставени в режим на сдвояване, преди нов телефон, лаптоп или друго устройство да може да се свърже.

Уязвимост в Bluetooth при Skullcandy Dime 3

От потребителите може също да се изисква да натиснат бутон, да потвърдят подкана, да въведат PIN код или да приемат заявка за парола (passkey). Засегнатите слушалки Dime 3 обаче приемат заявка за сдвояване от непознато Bluetooth устройство, дори когато собственикът не е активирал режима на сдвояване.

Атаката не изисква физически достъп до слушалките, техния калъф за зареждане или техните бутони. Тя също така не се нуждае от предишни отношения на сдвояване, PIN код, парола или каквото и да е взаимодействие от страна на жертвата.

Атакуващият трябва само да се намира в рамките на нормалния обхват на Bluetooth радиосигнала и да знае или открие Bluetooth Classic адреса на целевите слушалки. След това той може да изпрати директна заявка за сдвояване към устройството.

Тъй като слушалките използват Bluetooth I/O възможност от тип NoInputNoOutput, процесът на сдвояване и обвързване може да завърши, без собственикът да потвърди връзката.

След като устройството на атакуващия бъде обвързано, то се превръща в доверено Bluetooth устройство. Това означава, че то може автоматично да се свързва отново със слушалките всеки път, когато е наблизо, създавайки постоянен риск, а не еднократно прекъсване.

Атакуващият би могъл да установи връзка чрез Advanced Audio Distribution Profile (A2DP) и да поемат контрола върху аудио сесията на слушалките. Това може да прекъсне легитимната връзка на потребителя с неговия смартфон или компютър, позволявайки на атакуващия да възпроизвежда аудио през слушалките или да откаже достъпа на собственика до неговия активен аудио поток.

Единственото предупреждение, което потребителят получава, е гласово съобщение „New device paired“. Докато потребителят чуе това съобщение, неоторизираното сдвояване вече е успешно извършено и потребителят няма възможност да го отхвърли, преди атакуващият да стане доверен.

Още по-тревожно е, че атакуващ може да получи достъп и до Hands-Free Profile или Headset Profile на слушалките. Тези Bluetooth профили могат да разкрият функционалността на микрофона, което потенциално позволява на атакуващия да записва аудио на живо от заобикалящата среда на жертвата през микрофона на Dime 3.

В основата си уязвимостта е била идентифицирана по-рано като CVE-2025-20701 в имплементациите на Bluetooth аудио SDK на Airoha. Airoha е идентифицирана чрез modalias на Bluetooth Plug and Play на Dime 3, който посочва Airoha Technology Corp. под идентификатор на компанията в Bluetooth SIG 0x0094.

Според доклади на CERT/CC е налична корекция за сигурност във версия на фърмуера 1.0.0.30. Skullcandy обаче потвърди, че слушалките Dime 3 не поддържат актуализации на фърмуера през приложението на Skullcandy.

В резултат на това клиентите с налични устройства, работещи с фърмуер 1.0.0.28, в момента нямат известен достъпен за потребителите начин да инсталират коригирания фърмуер.

Потребителите трябва да избягват използването на засегнатите слушалки на места, където непознати хора могат да бъдат в обхвата на Bluetooth, да останат бдителни за неочаквани известия за сдвояване и да премахват непознати Bluetooth устройства от списъците с премахнати/сдвоени устройства, когато е възможно.