山東
IT之家 1 月 16 日消息，科技媒體 Android Headline 今天（1 月 16 日）發布博文，報道稱來自荷語魯汶大學（KU Leuven）的研究團隊披露 WhisperPair 高危漏洞，直接影響支持谷歌 Fast Pair（快速配對）協議的音頻設備。
Fast Pair 主要目的是簡化藍牙連接流程，讓手機能迅速發現附近的音頻設備。而該漏洞根源，在于部分制造商對實施谷歌 Fast Pair 協議時存在疏忽。
根據 Fast Pair 協議規范，設備在已連接狀態下本應拒絕新的配對請求，但該團隊測試來自 10 個品牌的 17 款設備未能執行此安全邏輯。攻擊者可以通過獲取特定型號的 ID（Model ID），偽裝成合法請求強制介入。
攻擊者實施入侵的門檻極低，僅需一臺廉價的樹莓派設備并處于目標藍牙范圍內（測試顯示約 14 米，實際可能更遠），無需任何身份驗證，即可在 15 秒內通過無線方式劫持目標設備。
IT之家附上演示視頻如下：
一旦攻擊者利用該漏洞成功連接，后果將不堪設想。除了能控制聲音輸出外，攻擊者還能激活耳機的內置麥克風進行隱蔽竊聽。
值得警惕的是，該漏洞還衍生出一種高危的地理位置追蹤手段，且 iPhone 用戶更易中招。如果用戶的藍牙耳機（如索尼或谷歌產品）僅連接過 iPhone 而未綁定谷歌賬號，黑客便能通過漏洞將該設備強制綁定至自己的谷歌賬號下。
隨后，黑客利用谷歌的“Find Hub”設備定位網絡，即可實時監控受害者的行蹤。雖然系統可能會發送“未知追蹤器”警報，但用戶往往會誤以為是誤報而忽略，從而陷入持續被監視的風險中。
此次漏洞影響范圍廣泛，涵蓋索尼（Sony）、JBL、聲闊（Soundcore）及谷歌自家產品等任何兼容 Fast Pair 的設備，連線（Wired）表示全球數億臺音頻設備需要打補丁。
幸運的是，研究團隊早在去年 8 月便將該發現通報給了谷歌。谷歌隨后與各大硬件制造商展開合作，針對性地開發了修復方案。谷歌向連線表示：目前沒有證據表明，在實驗室外，有黑客利用該漏洞發起攻擊。
小米、JBL 和羅技等品牌表示正在或已經通過其官方 App 推送固件更新（OTA）。然而，研究人員警告稱，由于大多數用戶缺乏定期更新耳機固件的習慣，甚至不知道需要下載廠商 App 來打補丁，這些漏洞可能會在未來數月甚至數年內持續存在。
參考
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
