Trois failles majeures dans les puces Bluetooth Airoha, utilisées par des dizaines de modèles d’écouteurs et de casques sans fil, exposent les utilisateurs et utilisatrices à des risques d'espionnage ou de vol de données. Si l’attaque nécessite d’être à proximité, elle n’exige ni appairage préalable ni action de la victime.
- Des failles Bluetooth dans les puces Airoha exposent des écouteurs de marques populaires à des risques d'espionnage.
- Les chercheurs d'ERNW ont démontré des attaques possibles, mais nécessitant proximité et compétences techniques avancées.
- Airoha a publié un correctif, mais peu d'appareils ont reçu une mise à jour effective à ce jour.
Les chercheurs d'ERNW ont présenté, lors de la conférence TROOPERS, trois failles critiques affectant les puces Bluetooth Airoha, largement intégrées aux écouteurs sans fils et casques de marques comme Sony, JBL, Marshall, Bose ou Jabra. Des vulnérabilités qui permettraient à des attaquants situés à portée Bluetooth d’accéder à la mémoire de l’appareil, de visualiser le numéro de la victime ainsi que ceux des appels entrants, d’intercepter des conversations, voire, selon la configuration du téléphone, de consulter la liste des contacts ou l’historique des appels. Airoha a publié un correctif dans son SDK début juin, mais à ce jour, très peu d’appareils ont reçu une mise à jour effective.
Des failles techniques inquiétantes, et déjà exploitables en laboratoire
Pour comprendre de quoi il retourne, il faut savoir que les puces Bluetooth concernées, fabriquées par le constructeur taïwanais Airoha, intègrent un protocole propriétaire permettant d’accéder directement à la mémoire vive et à la mémoire flash de l’appareil, sans appairage, sans authentification, ni passage par l’application du fabricant. En exploitant cette négligence, les chercheurs ont identifié trois vulnérabilités distinctes, permettant de manipuler des écouteurs ou casques à distance, d’extraire des données sensibles, de détourner des connexions avec un smartphone, ou encore de déclencher des appels à l’insu de la personne ciblée.
Dans leurs démonstrations, les équipes d’ERNW ont d’abord prouvé qu’il était possible d’identifier le contenu en cours de lecture, comme une chanson ou un podcast, en accédant directement à la mémoire de l’appareil. Ils sont également parvenus à interagir avec l’assistant vocal du téléphone, ou à détourner la connexion entre un casque et un smartphone en récupérant la clé Bluetooth stockée dans l’appareil. Une fois cette clé extraite, ils ont pu se faire passer pour le casque d’origine et établir une nouvelle connexion avec le téléphone, redirigeant ainsi le flux audio vers leur propre appareil.
Mais les attaques les plus préoccupantes exploitent la relation de confiance entre le téléphone et le périphérique audio. En simulant un casque déjà appairé, les chercheurs sont parvenus à forcer un smartphone à initier un appel vers un numéro arbitraire. Une fois la communication établie, ils ont alors pu écouter à distance tout ce que captait le micro du téléphone, à l’insu de la victime.
À noter toutefois que ces attaques, bien que techniquement réalisables, sont difficiles à mettre en œuvre. D’après les équipes d’ERNW, l’attaquant doit se trouver à portée de Bluetooth (environ dix mètres), disposer de compétences avancées et viser une personne en particulier. Le risque pour le grand public reste donc limité. Mais dans un contexte de surveillance ciblée et renforcée – par exemple en manifestation ou lors de rassemblements politiques –, on imagine sans trop de mal que ces types de vulnérabilités pourraient être exploitées par des forces de l’ordre ou des acteurs étatiques cherchant à capter discrètement des informations.
Quels modèles sont concernés ?
Parmi les modèles testés par ERNW, plusieurs références issues de marques connues ont été confirmées comme vulnérables. On y retrouve, chez Sony, les séries WH-1000XM4 à XM6, les écouteurs WF-1000XM3 à XM5, les modèles LinkBuds S, WH-CH720N, ULT Wear, ou encore les WF-C500 et WH-CH520. JBL est également touché avec les Live Buds 3 et les Endurance Race 2, tout comme Bose avec ses QuietComfort Earbuds, Marshall avec les Acton III, Major V, Minor IV ou encore Motif II, et Jabra avec les Elite 8 Active. Les marques Jlab, Teufel, Beyerdynamic, Xiaomi, MoerLabs ou encore EarisMax figurent aussi parmi les fabricants concernés.
Les chercheurs précisent qu’il ne s’agit que des appareils qu’ils ont pu tester ou obtenir directement. Le nombre réel de références affectées pourrait être bien plus important, notamment en raison de l’intégration non documentée des puces Airoha par certains sous-traitants. En combinant les parts de marché des principaux fabricants concernés, ils estiment que plusieurs millions d’appareils pourraient être potentiellement touchés.
Pas encore de correctif pour la majorité des appareils
Airoha a bien publié une version corrigée de son SDK au début du mois de juin, intégrant les mesures nécessaires pour neutraliser les failles. Ce correctif a été transmis aux fabricants concernés, qui doivent à leur tour l’intégrer dans un nouveau firmware, le tester, le signer et le diffuser via leurs propres applications. Mais à ce jour, la grande majorité des appareils vulnérables n’ont toujours reçu aucune mise à jour effective.
Les vulnérabilités ont été référencées sous les identifiants CVE-2025-20700 et CVE-2025-20701, toutes deux notées 8.8 sur 10, et CVE-2025-20702, notée 9.6, la plus critique du lot. Elles couvrent l’absence d’authentification sur certaines interfaces Bluetooth et l’exposition de fonctions sensibles liées au protocole maison utilisé par Airoha.
Selon les vérifications croisées par le média allemand Heise, les dernières versions de firmware disponibles pour la plupart des modèles testés datent d’avant le 27 mai, c’est-à-dire avant la livraison du SDK corrigé. Et pour près de la moitié des références concernées, aucune information publique sur une éventuelle mise à jour n’a pu être trouvée. Dans certains cas, les mises à jour sont diffusées uniquement via l’application du constructeur, ce qui rend le suivi des correctifs encore plus difficile.
Par prudence, les chercheurs ont donc choisi de ne pas publier de code d’exploitation pour le moment. Les détails techniques seront rendus publics lorsque les fabricants auront diffusé des mises à jour.
Alors que faire en attendant ? Pas grand-chose, hélas, si ce n’est limiter les connexions Bluetooth dans les lieux sensibles, éviter d’utiliser des écouteurs dans des environnements à risque, et vérifier régulièrement les mises à jour disponibles via les applications des constructeurs (Sony Headphones Connect, Bose Music, JBL, etc.).
27 juin 2025 à 09h45
