พบช่องโหว่ความปลอดภัยร้ายแรงในหูฟัง Bluetooth ราคาประหยัด

หูฟัง Skullcandy Dime 3 ประสบปัญหาช่องโหว่ด้านความปลอดภัยที่สร้างความเสี่ยงร้ายแรงแก่ผู้ใช้งาน โดยศูนย์ประสานงาน CERT ของมหาวิทยาลัย Carnegie Mellon รายงานว่าอุปกรณ์เหล่านี้สามารถจับคู่กับอุปกรณ์แปลกปลอมได้โดยไม่ต้องได้รับความยินยอมจากผู้ใช้

ช่องโหว่นี้ส่งผลให้การเชื่อมต่อของผู้ใช้ถูกตัดขาดและเนื้อหาที่กำลังเล่นถูกเข้าควบคุมได้ นอกจากนี้ผู้โจมตียังสามารถเข้าถึงไมโครโฟนเพื่อบันทึกเสียงสดได้โดยที่ผู้ใช้ไม่ทราบ โดยอุปกรณ์จะแจ้งเตือนด้วยเสียงเพียงว่ามีการจับคู่กับอุปกรณ์ใหม่เท่านั้น

ปัญหาดังกล่าวมีรหัส CVE-2025-20701 ซึ่งเกิดจากชิปเซ็ตระบบ Bluetooth ของบริษัท Airoha จากไต้หวัน ไม่ใช่ข้อผิดพลาดทางซอฟต์แวร์ของ Skullcandy โดยตรง ซึ่ง CISA จัดให้ช่องโหว่นี้อยู่ในระดับสูงด้วยคะแนน 8.8 ขณะที่ MediaTek ให้คะแนน 6.7

แม้ Skullcandy จะออกแพตช์เวอร์ชัน 1.0.0.30 สำหรับอุปกรณ์ที่ใช้เวอร์ชัน 1.0.0.28 แต่การอัปเดตนี้มีเฉพาะในหูฟังที่ผลิตใหม่เท่านั้น ผู้ใช้ปัจจุบันไม่มีวิธีการอัปเดตอุปกรณ์เนื่องจากไม่มีแอปพลิเคชันสนับสนุน ทั้งนี้ผู้โจมตีต้องอยู่ในระยะไม่กี่เมตรจากเหยื่อเพื่อใช้งานช่องโหว่นี้