【安全圈】藍牙芯片供應鏈重大漏洞披露：數億設備面臨「耳機劫持」風險

關鍵詞

漏洞

近期，網絡安全研究人員披露了一組涉及藍牙音頻芯片供應鏈的高危安全漏洞。漏洞存在于達發科技（Airoha，聯發科子公司）生產的藍牙系統級芯片及其 SDK 中。由于該系列芯片被廣泛應用于全球多家主流品牌的耳機和音響產品，導致數億臺設備暴露在攻擊面之下。

攻擊者可在無需配對、無需用戶交互的情況下接管目標設備，進而實施竊聽、固件篡改，甚至通過所謂的「耳機劫持」技術，反向控制已連接的智能手機。

漏洞核心機制與技術細節

本次漏洞主要集中在 Airoha 芯片固件中實現的一種專有協議RACE。
該協議原本僅用于工廠測試或開發調試，但在大量量產固件中未被移除或禁用，且缺乏任何有效認證機制，從而成為攻擊入口。

涉及的關鍵漏洞（CVE）

CVE-2025-20700：GATT 服務認證缺失
攻擊者可通過 BLE 發現并連接目標設備。由于 GATT 服務未進行訪問控制，攻擊者可借此建立隱蔽通信通道，訪問 RACE 協議接口。

CVE-2025-20701：藍牙 BR/EDR 認證缺失
在經典藍牙模式下，設備未強制執行配對認證流程，攻擊者可直接建立連接，為后續高帶寬通信和音頻劫持創造條件。

CVE-2025-20702：RACE 協議暴露高危功能
這是影響最嚴重的漏洞。攻擊者可通過 RACE 接口直接對芯片內存和閃存進行讀寫，導致敏感數據泄露、固件被覆蓋，甚至實現遠程代碼執行。

「耳機劫持」：完整攻擊鏈解析

與傳統藍牙攻擊不同，此次漏洞的真正威脅在于橫向移動能力，即從耳機進一步滲透至手機等核心終端。

攻擊流程如下：

1. 無感接入
攻擊者在約 10 米范圍內，利用 BLE 或 BR/EDR 漏洞，在用戶毫無察覺的情況下連接其藍牙耳機。

2. 憑據提取
通過 RACE 協議讀取耳機內存，提取與手機配對生成的**鏈路密鑰（Link Key）**及手機的藍牙 MAC 地址。

3. 身份偽冒與橫向移動
攻擊者使用獲取的密鑰偽裝成合法耳機，手機因驗證通過而自動建立連接。

4. 控制終端設備
連接建立后，攻擊者可通過 HFP、A2DP 等藍牙協議控制手機，包括：

• 激活麥克風進行環境監聽

• 強制發起電話呼叫

• 獲取通訊錄和通話記錄

• 通過語音助手注入惡意指令

這是一次典型的供應鏈安全事件。Airoha 的芯片方案以高性價比著稱，被廣泛集成于多家知名品牌產品中，包括：

• Sony

• JBL

• Xiaomi

• Realme

• Marshall

• Bose

• Beyerdynamic等

隱蔽性強
廠商在基于 SDK 二次開發時，往往未意識到調試協議殘留風險，導致漏洞隨產品進入市場。

修復難度高
即便原廠已發布修復 SDK，藍牙耳機整體固件升級率極低，部分低端設備甚至不支持 OTA，意味著大量存量設備將長期處于暴露狀態。

潛在物理傷害
攻擊者可通過 RACE 協議將音量瞬間調至最大，對佩戴者造成不可逆的聽力損傷。

已確認受影響的部分設備

• Sony：WH-1000XM5、WF-1000XM5、LinkBuds S

• JBL：Live Buds 3、Endurance Race 2

• Marshall：Major V、Acton III

• Beyerdynamic：Amiron 300

（受影響范圍仍在持續擴大中）

防御建議與緩解措施 對普通用戶

• 及時更新固件：檢查配套 App，第一時間升級耳機固件

• 降低暴露面：不使用時關閉耳機電源或手機藍牙

• 關注異常行為：如音量異常、頻繁斷連、異常配對請求，應立即移除設備并重新配對

• 資產清查：禁止在涉密區域使用未修補的藍牙音頻設備

• 無線監測：部署藍牙/BLE 監測系統，識別異常連接行為

• BYOD 管控：將藍牙外設固件版本納入準入檢查策略

Airoha 芯片漏洞再次凸顯：硬件層面的專有協議和調試接口，已成為物聯網安全的長期頑疾。
在萬物互聯的背景下，攻擊者正越來越多地利用邊緣設備（如耳機）作為跳板，滲透至手機、PC 等核心終端。

「耳機劫持」不只是隱私泄露問題，更可能演變為針對高價值目標的定向攻擊手段。

安全圈

網羅圈內熱點 專注網絡安全

實時資訊一手掌握！

好看你就分享 有用就點個贊

支持「安全圈」就點個三連吧！