- Los investigadores advierten que los audífonos Skullcandy Dime 3 con firmware antiguo aceptan el emparejamiento por Bluetooth de dispositivos desconocidos sin que se requiera la interacción del usuario.
- Si se aprovecha, esta vulnerabilidad puede utilizarse para interrumpir las conexiones del propietario, secuestrar la reproducción e incluso capturar el audio en vivo del micrófono.
- La vulnerabilidad ha sido corregida en una actualización de firmware más reciente, disponible únicamente en los modelos más nuevos; no parece que se pueda solucionar en los audífonos existentes.
El Centro de Coordinación CERT de la Universidad Carnegie Mellon ha advertido que los audífonos inalámbricos Dime 3 de Skullcandy aceptan una solicitud de emparejamiento por Bluetooth proveniente del dispositivo de un desconocido sin que el propietario haga nada.
El emparejamiento resultante es permanente, y la única señal que recibe el propietario es una notificación de voz que dice «nuevo dispositivo emparejado», la cual se emite después de que ya haya ocurrido, sin que el usuario tenga que hacer nada para confirmar la solicitud.
El aviso sobre los Dime 3 fue redactado por Bob Kemerer, de CERT/CC, y da crédito al investigador independiente Jacob Nowak, quien había publicado sus hallazgos en la lista de correo Full Disclosure a principios de agosto después de probarlos en su propio equipo.
Se implementó una corrección que prácticamente no afecta a ningún usuario actual
Lo peor de todo es que, irónicamente, aunque Skullcandy actuó rápidamente para solucionar el problema que afectaba a los audífonos con la versión de firmware 1.0.0.28 al lanzar la versión corregida 1.0.0.30, parece que esta solo soluciona el problema en las unidades fabricadas recientemente.
CERT señala que aparentemente no existen métodos “accesibles para el consumidor” para actualizar las unidades existentes al firmware más reciente, ya que, según se informa, la actualización no cuenta con soporte a través de la aplicación complementaria, como indica una reseña de Tom's Guide.
Un producto sin una vía de actualización accesible para el usuario significa, en esencia, que sus fallas de software o, en este caso, sus problemas de seguridad, llegaron para quedarse para quienes tuvieron la mala suerte de comprar una unidad anterior.
La vulnerabilidad en cuestión, CVE-2025-20701, no es nueva ni fue creada por Skullcandy. Es una de las tres vulnerabilidades que Dennis Heinze y Frieder Steinmetz, de la empresa alemana ERNW, revelaron en junio de 2025 durante la conferencia TROOPERS en Heidelberg. Esta afecta a sistemas Bluetooth en chip de Airoha, empresa taiwanesa.
El identificador Bluetooth de los Dime 3 señala a Airoha como el fabricante de su chipset y, aunque Airoha distribuyó un SDK corregido a sus clientes en junio de 2025 y publicó su boletín de seguridad en agosto de ese mismo año, los propietarios de estos audífonos se encuentran en una situación bastante particular, por decir lo menos.
La gravedad de la vulnerabilidad es motivo de debate: MediaTek, propietaria de Airoha, le asignó una puntuación relativamente baja de 6.7, mientras que el programa de enriquecimiento de vulnerabilidades de CISA posteriormente le otorgó una puntuación de 8.8 y la clasificó como “alta”.
Un posible atacante está limitado a aquello a lo que los audífonos pueden acceder, ya que la vulnerabilidad está esencialmente limitada a estos dispositivos, pero aun así podría causar estragos con ello. En teoría, permitiría mucho más que simplemente alterar la rutina de una persona al “secuestrar” sus audífonos y utilizar sus micrófonos para grabar conversaciones o, en un caso teórico extremo que requeriría encadenarla con otros exploits, hacerse pasar por los audífonos para obtener contactos, historial de llamadas e incluso enviar comandos de manos libres a un smartphone emparejado.
Sin embargo, esto último requeriría un alto nivel de conocimientos técnicos, que el atacante se encuentre a pocos metros de la víctima y que la conexión Bluetooth del smartphone emparejado esté activada.
Por ahora, existe una vulnerabilidad que Skullcandy debería haber podido corregir, tal como Apple lo hizo recientemente con sus Beats Studio Buds, pero la falta de compatibilidad con aplicaciones de terceros en estos audífonos económicos está provocando, de manera bastante frustrante, que la vulnerabilidad sea imposible de corregir para los usuarios que ya tienen una unidad.
Sigue a TechRadar en Google Noticias y añádenos como fuente preferida para recibir nuestras noticias, reseñas y opiniones de expertos en tus feeds.
