CVE-2025-36911
Mis à jour :
Exploitation de la vulnérabilité WhisperPair dans le protocole Fast Pair de Bluetooth
Une faille nommée “WhisperPair” (CVE-2025-36911) a été identifiée dans le processus de jumelage par clé des accessoires audio Bluetooth utilisant le protocole Fast Pair de Google. Cette vulnérabilité découle d’une erreur logique dans le code, empêchant les appareils de vérifier correctement leur état de mode de jumelage.
Points Clés :
- Attaque sans privilèges supplémentaires : Un attaquant à proximité physique peut exploiter cette faille sans nécessiter de privilèges d’exécution élevés ni d’interaction de la part de l’utilisateur.
- Divulgation d’informations à distance : L’exploitation réussie peut entraîner la divulgation d’informations sensibles, potentiellement incluant les conversations et les données de localisation des utilisateurs.
- Détournement d’accessoires : L’attaquant peut forcer le jumelage d’accessoires vulnérables avec son propre appareil, permettant ainsi le contrôle de l’accessoire audio.
Vulnérabilité :
- CVE : CVE-2025-36911 (WhisperPair)
- Cause : Erreur logique dans le processus de vérification du mode de jumelage du protocole Fast Pair de Google.
- Impact : Divulgation d’informations à distance (conversations, localisation), prise de contrôle de l’accessoire audio, diffusion audio à haut volume, enregistrement de conversations, suivi de localisation.
Recommandations :
Bien que l’article ne détaille pas de recommandations spécifiques, les actions logiques à entreprendre pour atténuer cette vulnérabilité seraient :
- Mise à jour du micrologiciel : Les fabricants d’accessoires Bluetooth et de dispositifs prenant en charge Fast Pair doivent publier des mises à jour du micrologiciel pour corriger l’erreur logique.
- Sensibilisation des utilisateurs : Les utilisateurs devraient être alertés des risques potentiels et être prudents quant aux appareils à proximité qui tentent de se jumeler inopinément.
- Revocation des jumelages suspects : Les utilisateurs devraient vérifier activement les appareils jumelés à leurs téléphones et révoquer tout accès non autorisé ou suspect.