حذّر مركز تنسيق CERT التابع لجامعة كارنيغي ميلون (CERT/CC) من ثغرة عالية الخطورة في سماعات Skullcandy Dime 3 اللاسلكية، تتيح لجهاز Bluetooth قريب تنفيذ عملية اقتران من دون تفاعل المستخدم أو إدخاله رمز اقتران. وتشمل المشكلة الوحدات التي تعمل بإصدار البرنامج الثابت 1.0.0.28.
الثغرة مسجلة بالمعرّف CVE-2025-20701، وترتبط بمشكلة غياب المصادقة في حزمة Airoha Bluetooth Audio SDK التي تستخدمها سماعات Dime 3، طراز S2DCW، لمعالجة الاتصال اللاسلكي والتواصل مع الأجهزة المقترنة.
ما الذي يمكن للمهاجم فعله؟
بحسب المعلومات التي أوردها CERT/CC، لا يحتاج المهاجم إلى رمز PIN أو وصول فعلي إلى علبة السماعات أو موافقة صاحبها على طلب اقتران. وبمجرد نجاح الاقتران، يصبح جهاز المهاجم موثوقاً ويمكنه إعادة الاتصال تلقائياً عندما يكون قريباً من السماعات.
قد يتيح ذلك تعطيل اتصال المالك، واختطاف تشغيل الصوت، والوصول إلى ملف تعريف السماعة، والتقاط الصوت الحي من الميكروفون. وقد يسمع المستخدم إشعاراً يفيد باقتران جهاز جديد، لكن يمكن بسهولة تجاهل الإشعار أو تفسيره على أنه انقطاع اتصال عابر أعقبه اتصال جديد.
إصلاح متاح، لكن التحديث غير متاح للمستخدمين
تقول Skullcandy إن المشكلة عولجت في البرنامج الثابت 1.0.0.30. غير أن CERT/CC يوضح أن الوحدات التي بيعت بإصدار سابق لا تتيح لأصحابها حالياً الانتقال إلى الإصدار الآمن، لا يدوياً ولا عبر تطبيق Skullcandy.
وجاء في التحذير أنه، حتى وقت إصداره، لا توجد وسيلة متاحة للمستهلكين لترقية وحدة قائمة من الإصدار 1.0.0.28 إلى 1.0.0.30. كما لم يتمكن BleepingComputer من الحصول على تعليق من Skullcandy بشأن تعذر التحديث، إذ لم يتعامل روبوت الشركة مع طلبات الصحافة.
لماذا يهم هذا الخبر؟
تكمن أهمية الحالة في أن الخلل لا يقتصر على احتمال اعتراض اتصال عابر؛ فنجاح الاقتران يمنح الجهاز المهاجم صفة موثوقة، ما يوسّع نطاق ما يمكنه فعله لاحقاً. كما أن غياب آلية تحديث للمستهلكين يجعل إصدار الإصلاح غير كافٍ عملياً لمالكي الوحدات المتأثرة.
اكتشف باحثو ERNW الثغرة وقدموها في مؤتمر TROOPER للأمن السيبراني العام الماضي. وتقول المادة إن المشكلة تؤثر في مجموعة واسعة من منتجات السماعات وسماعات الرأس من شركات متعددة، بعد أن نشرت Airoha تحديثات لحزمة SDK في 4 أغسطس 2025. وعالجت Apple الخلل في سماعات Beats Studio Buds عبر تحديث للبرنامج الثابت صدر في يونيو، لكن ذلك لا يقدم حلاً لوحدات Skullcandy غير القابلة للترقية.
لا يحدد المصدر وجود استغلال فعلي ضد مالكي Dime 3، ولا يوضح آلية استبدال الوحدات أو موقف Skullcandy النهائي. لذلك تبقى قابلية التحديث الفعلية للحل، بالنسبة إلى العملاء الذين يملكون الإصدار 1.0.0.28، السؤال العملي الأبرز في هذه الحالة.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.