網(wǎng)絡(luò)安全研究人員披露，多款采用Airoha藍(lán)牙芯片的無線耳機(jī)及音頻設(shè)備存在安全缺陷。相關(guān)研究由專注于硬件安全與漏洞挖掘的“Insinuator”團(tuán)隊(duì)發(fā)布，共涉及三項(xiàng)漏洞編號(hào)：CVE-2025-20700、CVE-2025-20701與CVE-2025-20702。

測試表明，攻擊者在藍(lán)牙信號(hào)覆蓋范圍內(nèi)靠近目標(biāo)設(shè)備時(shí)，可利用上述漏洞直接訪問設(shè)備內(nèi)存（包括隨機(jī)存取存儲(chǔ)器與存儲(chǔ)空間），并提取耳機(jī)曾配對過的關(guān)聯(lián)設(shè)備信息。在特定場景下，漏洞還可被用于激活麥克風(fēng)，實(shí)時(shí)采集周圍環(huán)境聲音。此外，攻擊者能夠獲取已連接手機(jī)的通訊錄、通話記錄及電話號(hào)碼等敏感數(shù)據(jù)。

部分受影響設(shè)備的風(fēng)險(xiǎn)進(jìn)一步升級(jí)，因其允許攻擊者繞過常規(guī)的藍(lán)牙配對與身份驗(yàn)證流程，用戶往往難以察覺異常連接嘗試。受影響品牌涵蓋索尼、Bose、JBL、Jabra、Marshall、拜雅動(dòng)力及JLab等廠商的部分型號(hào)產(chǎn)品，但具體影響范圍取決于各機(jī)型實(shí)際采用的芯片版本與固件配置。

針對此次漏洞，Airoha已向合作制造商推送修復(fù)補(bǔ)丁，但終端用戶能否獲得更新仍取決于設(shè)備廠商的適配進(jìn)度。研究人員強(qiáng)調(diào)，并非所有藍(lán)牙設(shè)備均面臨同等威脅，完整利用該漏洞鏈需要較高的技術(shù)門檻與近距離物理接觸。對于隱私要求較高的使用環(huán)境，建議定期更新手機(jī)與耳機(jī)固件，閑置時(shí)關(guān)閉藍(lán)牙功能，清理歷史配對記錄并拒絕陌生連接請求；必要時(shí)可改用有線耳機(jī)以徹底切斷無線攻擊面。