Unos auriculares baratos con una puerta Bluetooth secreta
Los auriculares inalámbricos Skullcandy Dime 3 tienen una vulnerabilidad Bluetooth que permite que un dispositivo ajeno se conecte a ellos sin permiso del propietario. El CERT Coordination Center de la Universidad Carnegie Mellon ha alertado del problema.
Según CERT/CC, al atacante le basta con enviar una solicitud de emparejamiento. El propietario no tiene que confirmar la conexión, pulsar ningún botón ni hacer nada. Después, el emparejamiento permanece activo. La única señal de lo ocurrido es un aviso de voz que dice «new device paired»: suena después de que la conexión se haya completado, cuando el tren ya ha salido y Bluetooth ha dejado entrar al invitado no deseado.
La recomendación la preparó Bob Kemerer, especialista de CERT/CC. También menciona al investigador independiente Jacob Nowak, que publicó los resultados de sus pruebas a principios de agosto en la lista de correo Full Disclosure, después de probar sus propios auriculares.
El problema afecta al firmware versión 1.0.0.28. Skullcandy publicó la versión corregida 1.0.0.30, pero, según CERT, parece que la actualización solo se instala en las nuevas unidades Dime 3. No hay una forma accesible para el consumidor de actualizar los auriculares ya comprados: la aplicación oficial no admite esta función. Así que los propietarios de las primeras unidades se quedan, en la práctica, con la misma vulnerabilidad, sin botón de «arreglar» y sin una vía clara de escape.
La vulnerabilidad tiene el identificador CVE-2025-20701. No es un problema creado por Skullcandy: forma parte de un grupo de tres fallos en chips Bluetooth de la empresa taiwanesa Airoha, sobre los que hablaron en junio de 2025 Dennis Heinze y Frieder Steinmetz, de la compañía alemana ERNW, en la conferencia TROOPERS de Heidelberg. El identificador del chipset Bluetooth de los Dime 3 señala a Airoha. La empresa publicó un SDK corregido para los fabricantes en junio de 2025 y su propio boletín en agosto.
La valoración de la gravedad varía. MediaTek, propietaria de Airoha, asignó a la vulnerabilidad 6,7 puntos, un nivel de riesgo moderado. Más tarde, el programa de CISA para mejorar los datos sobre vulnerabilidades la puntuó con 8,8 y la clasificó como de gravedad alta.
Las posibilidades del atacante se limitan a los propios auriculares, pero eso no significa que el problema sea inocuo. La vulnerabilidad podría permitir hacerse con el control de los auriculares y usar sus micrófonos para grabar conversaciones. En un escenario teórico más complejo, si se combina este fallo con otros exploits, un atacante podría hacerse pasar por los auriculares, acceder a los contactos y al historial de llamadas o transmitir comandos de voz al móvil conectado.
Para que eso ocurra hacen falta conocimientos técnicos considerables, estar a pocos metros de la víctima y que el Bluetooth del móvil esté activado. Aun así, la posibilidad de conectarse sin consentimiento sigue siendo un defecto grave.
Apple corrigió hace poco un problema similar en los Beats Studio Buds. En el caso de Skullcandy, el parche existe, pero para quienes ya compraron estos auriculares económicos es prácticamente inaccesible. Se repite así una comedia tecnológica conocida: el fabricante ha sacado el remedio, pero el envase solo les ha llegado a quienes aún no habían comprado el producto enfermo.
PEREC.RU
Los auriculares inalámbricos Skullcandy Dime 3 tienen la vulnerabilidad Bluetooth CVE-2025-20701. Permite que un dispositivo ajeno se conecte sin que el propietario tenga que confirmarlo: no hace falta pulsar botones ni aceptar la solicitud. El emparejamiento permanece activo y el aviso de voz «new device paired» suena cuando la conexión ya se ha completado.
El investigador independiente Jacob Nowak informó del problema. CERT/CC, de la Universidad Carnegie Mellon, publicó la alerta, redactada por Bob Kemerer. La vulnerabilidad afecta a los auriculares con el firmware 1.0.0.28.
Skullcandy publicó el firmware corregido 1.0.0.30, pero la actualización plantea un nuevo problema: según CERT, los propietarios de dispositivos ya comprados no disponen de un método accesible para instalar el parche. La aplicación oficial no admite actualizaciones, así que la versión corregida probablemente solo se instala en las unidades nuevas. Para los propietarios de las primeras unidades, el fallo detectado sigue ahí.
La vulnerabilidad está relacionada con los sistemas Bluetooth de chips de la empresa taiwanesa Airoha, no directamente con el desarrollo de Skullcandy. Dennis Heinze y Frieder Steinmetz, de la empresa alemana ERNW, revelaron tres problemas similares en junio de 2025, en la conferencia TROOPERS de Heidelberg. Airoha publicó en junio un SDK corregido para sus clientes y, en agosto, su propio boletín. El identificador Bluetooth de los Dime 3 apunta al uso de un chip Airoha.
La gravedad de CVE-2025-20701 se ha valorado de forma distinta. MediaTek, propietaria de Airoha, le dio 6,7 puntos. El programa de CISA para mejorar la información sobre vulnerabilidades le asignó 8,8 y la clasificó como de gravedad alta.
El ataque afecta principalmente a las funciones de los propios auriculares. Un atacante podría hacerse con su control y usar los micrófonos para grabar conversaciones. En un escenario teórico más complejo, combinado con otros exploits, podría hacerse pasar por los auriculares, obtener los contactos y el historial de llamadas, o transmitir comandos de voz al móvil conectado mediante el sistema manos libres. Para ello necesitaría conocimientos técnicos especializados, estar a pocos metros de la víctima y que el Bluetooth del teléfono estuviera activado.
Apple publicó hace poco una actualización similar para los Beats Studio Buds. En el caso de Skullcandy, existe una solución, pero algunos usuarios no pueden instalarla por su cuenta. Por tanto, la vulnerabilidad de los Dime 3 vendidos anteriormente sigue siendo prácticamente imposible de corregir.
