El Centro de Coordinación CERT de la Universidad Carnegie Mellon (CERT/CC) advirtió sobre una vulnerabilidad de alta gravedad en los auriculares inalámbricos Skullcandy Dime 3, que permite que un dispositivo Bluetooth cercano realice un emparejamiento sin interacción del usuario ni la introducción de un código de emparejamiento. El problema afecta a las unidades que utilizan la versión 1.0.0.28 del firmware.
La vulnerabilidad está registrada con el identificador CVE-2025-20701 y está relacionada con un problema de ausencia de autenticación en el Airoha Bluetooth Audio SDK que utilizan los auriculares Dime 3, modelo S2DCW, para gestionar la conexión inalámbrica y la comunicación con los dispositivos emparejados.
¿Qué puede hacer el atacante?
Según la información proporcionada por CERT/CC, el atacante no necesita un código PIN, acceso físico al estuche de los auriculares ni la aprobación del propietario para una solicitud de emparejamiento. Una vez que el emparejamiento se completa correctamente, el dispositivo del atacante pasa a ser de confianza y puede volver a conectarse automáticamente cuando está cerca de los auriculares.
Esto podría permitir interrumpir la conexión del propietario, secuestrar la reproducción de audio, acceder al perfil de los auriculares y capturar el audio en directo del micrófono. El usuario podría oír una notificación que indicara que se ha emparejado un dispositivo nuevo, pero fácilmente podría ignorarla o interpretarla como una interrupción temporal de la conexión seguida de una nueva conexión.
Hay una corrección disponible, pero la actualización no está disponible para los usuarios
Skullcandy afirma que el problema se solucionó en el firmware 1.0.0.30. Sin embargo, CERT/CC señala que las unidades vendidas con una versión anterior no permiten actualmente a sus propietarios pasar a la versión segura, ni manualmente ni mediante la aplicación de Skullcandy.
La alerta indica que, hasta el momento de su publicación, no había ningún medio disponible para los consumidores para actualizar una unidad existente de la versión 1.0.0.28 a la 1.0.0.30. BleepingComputer tampoco pudo obtener comentarios de Skullcandy sobre la imposibilidad de actualizar, ya que el bot de la empresa no gestionó las solicitudes de prensa.
¿Por qué es importante esta noticia?
La importancia del caso reside en que el fallo no se limita a la posibilidad de interceptar una conexión temporal; el emparejamiento exitoso otorga al dispositivo atacante el estado de dispositivo de confianza, lo que amplía el alcance de lo que puede hacer posteriormente. Además, la ausencia de un mecanismo de actualización para los consumidores hace que la publicación de la corrección resulte prácticamente insuficiente para los propietarios de las unidades afectadas.
Investigadores de ERNW descubrieron la vulnerabilidad y la presentaron en la conferencia de ciberseguridad TROOPER el año pasado. El artículo afirma que el problema afecta a una amplia gama de productos de auriculares y audífonos de varias empresas, después de que Airoha publicara actualizaciones para el SDK el 4 de agosto de 2025. Apple solucionó el fallo en los auriculares Beats Studio Buds mediante una actualización del firmware publicada en junio, pero eso no ofrece una solución para las unidades de Skullcandy que no se pueden actualizar.
La fuente no especifica que haya habido una explotación real contra propietarios de los Dime 3, ni aclara el mecanismo de sustitución de las unidades o la postura final de Skullcandy. Por tanto, la posibilidad práctica de actualizar la solución, para los clientes que poseen la versión 1.0.0.28, sigue siendo la principal cuestión práctica en este caso.