Te słuchawki sparują się z obcym, a aktualizacji nie da się zainstalować

Parowanie Bluetooth powinno wymagać twojej zgody. Przytrzymujesz przycisk, dioda miga, potwierdzasz na telefonie. Skullcandy Dime 3 pomijają ten krok. Ósmego września CERT Coordination Center przy Carnegie Mellon opublikował ostrzeżenie VU#859658, potwierdzając, że Dime 3, model S2DCW, z oprogramowaniem 1.0.0.28 przyjmują prośbę o parowanie Bluetooth od urządzenia, którego nigdy nie widziały, bez wprowadzania słuchawek w tryb parowania i bez naciśnięcia czegokolwiek na etui.

Co to daje napastnikowi w zasięgu radiowym: może wciąć się w twoje trwające połączenie, przejąć odtwarzanie, sięgnąć po profil zestawu słuchawkowego i przechwytywać dźwięk na żywo z mikrofonu słuchawek. Bez wcześniejszego parowania, bez dostępu fizycznego, bez żadnego działania z twojej strony. Luka nosi numer CVE-2025-20701 i siedzi w SDK audio Bluetooth firmy Airoha, pakiecie oprogramowania obecnym w wielu tanich bezprzewodowych słuchawkach.

Teraz niewygodna część. Airoha naprawiła to w oprogramowaniu 1.0.0.30, wydanym 4 sierpnia 2025 roku, ponad rok temu. Skullcandy potwierdziła, że Dime 3 nie da się zaktualizować przez aplikację Skullcandy, a CERT/CC pisze, że nie istnieje dostępny dla klienta sposób przeniesienia posiadanej pary z 1.0.0.28 na poprawioną wersję. W dniu publikacji ostrzeżenia centrum nie otrzymało żadnego oświadczenia producenta. Jeśli masz te słuchawki, masz wersję z błędem.

W praktyce zostają dwie rzeczy. Trzymaj je w etui, kiedy nie słuchasz, bo wyłączonych nie da się sparować. I potraktuj poważnie powiadomienie "sparowano nowe urządzenie", zamiast machnąć na nie ręką jak na usterkę, bo to jedyny sygnał, jaki ofiara faktycznie dostaje. Tendvane nie sięgnie do wnętrza słuchawek, ale komputerowa strona twojego połączenia bezprzewodowego to inna sprawa: automatyczna aktualizacja sterowników utrzymuje sterowniki Bluetooth i Wi-Fi w aktualnej wersji, a to właśnie tam trafiają poprawki po tej stronie połączenia.