關(guān)鍵詞

漏洞

近期，網(wǎng)絡(luò)安全研究人員披露了一組涉及藍(lán)牙音頻芯片供應(yīng)鏈的高危安全漏洞。漏洞存在于達(dá)發(fā)科技（Airoha，聯(lián)發(fā)科子公司）生產(chǎn)的藍(lán)牙系統(tǒng)級(jí)芯片及其 SDK 中。由于該系列芯片被廣泛應(yīng)用于全球多家主流品牌的耳機(jī)和音響產(chǎn)品，導(dǎo)致數(shù)億臺(tái)設(shè)備暴露在攻擊面之下。

攻擊者可在無需配對(duì)、無需用戶交互的情況下接管目標(biāo)設(shè)備，進(jìn)而實(shí)施竊聽、固件篡改，甚至通過所謂的「耳機(jī)劫持」技術(shù)，反向控制已連接的智能手機(jī)。

漏洞核心機(jī)制與技術(shù)細(xì)節(jié)

本次漏洞主要集中在 Airoha 芯片固件中實(shí)現(xiàn)的一種專有協(xié)議RACE。
該協(xié)議原本僅用于工廠測試或開發(fā)調(diào)試，但在大量量產(chǎn)固件中未被移除或禁用，且缺乏任何有效認(rèn)證機(jī)制，從而成為攻擊入口。

涉及的關(guān)鍵漏洞（CVE）

CVE-2025-20700：GATT 服務(wù)認(rèn)證缺失
攻擊者可通過 BLE 發(fā)現(xiàn)并連接目標(biāo)設(shè)備。由于 GATT 服務(wù)未進(jìn)行訪問控制，攻擊者可借此建立隱蔽通信通道，訪問 RACE 協(xié)議接口。

CVE-2025-20701：藍(lán)牙 BR/EDR 認(rèn)證缺失
在經(jīng)典藍(lán)牙模式下，設(shè)備未強(qiáng)制執(zhí)行配對(duì)認(rèn)證流程，攻擊者可直接建立連接，為后續(xù)高帶寬通信和音頻劫持創(chuàng)造條件。

CVE-2025-20702：RACE 協(xié)議暴露高危功能
這是影響最嚴(yán)重的漏洞。攻擊者可通過 RACE 接口直接對(duì)芯片內(nèi)存和閃存進(jìn)行讀寫，導(dǎo)致敏感數(shù)據(jù)泄露、固件被覆蓋，甚至實(shí)現(xiàn)遠(yuǎn)程代碼執(zhí)行。

「耳機(jī)劫持」：完整攻擊鏈解析

與傳統(tǒng)藍(lán)牙攻擊不同，此次漏洞的真正威脅在于橫向移動(dòng)能力，即從耳機(jī)進(jìn)一步滲透至手機(jī)等核心終端。

攻擊流程如下：

1. 無感接入
攻擊者在約 10 米范圍內(nèi)，利用 BLE 或 BR/EDR 漏洞，在用戶毫無察覺的情況下連接其藍(lán)牙耳機(jī)。

2. 憑據(jù)提取
通過 RACE 協(xié)議讀取耳機(jī)內(nèi)存，提取與手機(jī)配對(duì)生成的**鏈路密鑰（Link Key）**及手機(jī)的藍(lán)牙 MAC 地址。

3. 身份偽冒與橫向移動(dòng)
攻擊者使用獲取的密鑰偽裝成合法耳機(jī)，手機(jī)因驗(yàn)證通過而自動(dòng)建立連接。

4. 控制終端設(shè)備
連接建立后，攻擊者可通過 HFP、A2DP 等藍(lán)牙協(xié)議控制手機(jī)，包括：

• 激活麥克風(fēng)進(jìn)行環(huán)境監(jiān)聽

• 強(qiáng)制發(fā)起電話呼叫

• 獲取通訊錄和通話記錄

• 通過語音助手注入惡意指令

這是一次典型的供應(yīng)鏈安全事件。Airoha 的芯片方案以高性價(jià)比著稱，被廣泛集成于多家知名品牌產(chǎn)品中，包括：

• Sony

• JBL

• Xiaomi

• Realme

• Marshall

• Bose

• Beyerdynamic等

隱蔽性強(qiáng)
廠商在基于 SDK 二次開發(fā)時(shí)，往往未意識(shí)到調(diào)試協(xié)議殘留風(fēng)險(xiǎn)，導(dǎo)致漏洞隨產(chǎn)品進(jìn)入市場。

修復(fù)難度高
即便原廠已發(fā)布修復(fù) SDK，藍(lán)牙耳機(jī)整體固件升級(jí)率極低，部分低端設(shè)備甚至不支持 OTA，意味著大量存量設(shè)備將長期處于暴露狀態(tài)。

潛在物理傷害
攻擊者可通過 RACE 協(xié)議將音量瞬間調(diào)至最大，對(duì)佩戴者造成不可逆的聽力損傷。

已確認(rèn)受影響的部分設(shè)備

• Sony：WH-1000XM5、WF-1000XM5、LinkBuds S

• JBL：Live Buds 3、Endurance Race 2

• Marshall：Major V、Acton III

• Beyerdynamic：Amiron 300

（受影響范圍仍在持續(xù)擴(kuò)大中）

防御建議與緩解措施 對(duì)普通用戶

• 及時(shí)更新固件：檢查配套 App，第一時(shí)間升級(jí)耳機(jī)固件

• 降低暴露面：不使用時(shí)關(guān)閉耳機(jī)電源或手機(jī)藍(lán)牙

• 關(guān)注異常行為：如音量異常、頻繁斷連、異常配對(duì)請求，應(yīng)立即移除設(shè)備并重新配對(duì)

• 資產(chǎn)清查：禁止在涉密區(qū)域使用未修補(bǔ)的藍(lán)牙音頻設(shè)備

• 無線監(jiān)測：部署藍(lán)牙/BLE 監(jiān)測系統(tǒng)，識(shí)別異常連接行為

• BYOD 管控：將藍(lán)牙外設(shè)固件版本納入準(zhǔn)入檢查策略

Airoha 芯片漏洞再次凸顯：硬件層面的專有協(xié)議和調(diào)試接口，已成為物聯(lián)網(wǎng)安全的長期頑疾。
在萬物互聯(lián)的背景下，攻擊者正越來越多地利用邊緣設(shè)備（如耳機(jī)）作為跳板，滲透至手機(jī)、PC 等核心終端。

「耳機(jī)劫持」不只是隱私泄露問題，更可能演變?yōu)?strong>針對(duì)高價(jià)值目標(biāo)的定向攻擊手段。

安全圈

網(wǎng)羅圈內(nèi)熱點(diǎn) 專注網(wǎng)絡(luò)安全

實(shí)時(shí)資訊一手掌握！

好看你就分享 有用就點(diǎn)個(gè)贊

支持「安全圈」就點(diǎn)個(gè)三連吧！