Das CERT Coordination Center der Carnegie Mellon University (CERT/CC) warnte vor einer kritischen Schwachstelle in den kabellosen Skullcandy-Dime-3-Kopfhörern, die es einem Bluetooth-Gerät in der Nähe ermöglicht, ohne Interaktion des Nutzers oder Eingabe eines Kopplungscodes eine Kopplung durchzuführen. Betroffen sind Geräte mit der Firmware-Version 1.0.0.28.
Die Schwachstelle ist unter der Kennung CVE-2025-20701 registriert und steht im Zusammenhang mit einem Authentifizierungsfehler im Airoha Bluetooth Audio SDK, das die Dime 3, Modell S2DCW, für die Verarbeitung der drahtlosen Verbindung und die Kommunikation mit gekoppelten Geräten verwenden.
Was kann ein Angreifer tun?
Laut den von CERT/CC bereitgestellten Informationen benötigt der Angreifer weder eine PIN noch physischen Zugriff auf das Ladeetui der Kopfhörer oder die Zustimmung des Besitzers zu einer Kopplungsanfrage. Sobald die Kopplung erfolgreich ist, wird das Gerät des Angreifers als vertrauenswürdig eingestuft und kann automatisch erneut eine Verbindung herstellen, wenn es sich in der Nähe der Kopfhörer befindet.
Dies kann es ermöglichen, die Verbindung des Besitzers zu unterbrechen, die Audiowiedergabe zu übernehmen, auf das Kopfhörerprofil zuzugreifen und Live-Audio über das Mikrofon aufzunehmen. Der Nutzer hört möglicherweise eine Benachrichtigung über die Kopplung eines neuen Geräts, kann diese jedoch leicht ignorieren oder als vorübergehenden Verbindungsabbruch mit anschließender neuer Verbindung interpretieren.
Behebung verfügbar, Aktualisierung für Nutzer jedoch nicht möglich
Skullcandy zufolge wurde das Problem in der Firmware-Version 1.0.0.30 behoben. CERT/CC weist jedoch darauf hin, dass Besitzer von Geräten, die mit einer früheren Version verkauft wurden, derzeit weder manuell noch über die Skullcandy-App auf die sichere Version wechseln können.
In der Warnung heißt es, dass es bis zu ihrem Veröffentlichungszeitpunkt keine für Verbraucher verfügbare Möglichkeit gab, ein vorhandenes Gerät von Version 1.0.0.28 auf 1.0.0.30 zu aktualisieren. BleepingComputer konnte zudem keine Stellungnahme von Skullcandy zur fehlenden Aktualisierungsmöglichkeit erhalten, da der Unternehmens-Bot nicht auf Presseanfragen einging.
Warum ist diese Nachricht wichtig?
Die Bedeutung des Falls liegt darin, dass die Schwachstelle nicht nur das mögliche Abfangen einer vorübergehenden Verbindung betrifft: Eine erfolgreiche Kopplung verleiht dem angreifenden Gerät den Status eines vertrauenswürdigen Geräts und erweitert damit den Umfang der später möglichen Aktionen. Da außerdem kein Mechanismus für Verbraucheraktualisierungen vorhanden ist, reicht die Veröffentlichung der Fehlerbehebung für Besitzer betroffener Geräte praktisch nicht aus.
Forscher von ERNW entdeckten die Schwachstelle und stellten sie im vergangenen Jahr auf der Konferenz TROOPER für Cybersicherheit vor. Dem Artikel zufolge betrifft das Problem eine breite Palette von Ohrhörer- und Kopfhörerprodukten mehrerer Unternehmen, nachdem Airoha am 4. August 2025 Aktualisierungen für das SDK-Paket veröffentlicht hatte. Apple behob die Schwachstelle in den Beats Studio Buds durch ein im Juni veröffentlichtes Firmware-Update, doch dies bietet keine Lösung für nicht aktualisierbare Skullcandy-Geräte.
Die Quelle nennt keine tatsächliche Ausnutzung gegen Besitzer der Dime 3 und erläutert weder den Mechanismus für den Austausch der Geräte noch die endgültige Position von Skullcandy. Daher bleibt die tatsächliche Möglichkeit, die Lösung für Kunden mit Version 1.0.0.28 zu aktualisieren, die wichtigste praktische Frage in diesem Fall.