WPair, dünya çapında milyonlarca Bluetooth ses cihazını etkileyen CVE-2025-36911 güvenlik açığını tanımlamak ve göstermek için tasarlanmış bir Android uygulamasıdır.
Araç, Google’ın Fast Pair protokolünde (genellikle WhisperPair olarak anılır) KU Leuven araştırmacıları tarafından keşfedilen kritik bir kimlik doğrulama atlama kusurunu giderir.
CVE-2025-36911, birden fazla üretici ve yonga seti genelinde Fast Pair uygulamalarında sistematik bir hatayı temsil ediyor. Güvenlik açığı, eşleştirme modu doğrulamasının hatalı uygulanmasından kaynaklanmaktadır.
WhisperPair araştırmasına göre birçok cihaz, açıkça eşleştirme modunda olmadığında, yetkisiz kaynaklardan gelen eşleştirme isteklerini göz ardı edemiyor.
Saldırganların 14 metreye kadar mesafelerde saniyeler içinde zorla bağlantı kurmasına olanak tanıyor. Saldırı, herhangi bir kullanıcı etkileşimi veya fiziksel cihaz erişimi gerektirmiyor, bu da onu özellikle tüketici ses ekipmanları için tehlikeli kılıyor.
WPair İşlevselliği
Uygulama üç temel tarama ve test modu sağlar. BLE Tarayıcı, 0xFE2C hizmeti UUID’sini yayınlayan cihazları tanımlayarak yakındaki Hızlı Eşleştirme cihazlarını keşfeder.
Güvenlik Açığı Test Cihazı, bağlantı kurmadan yama durumunu belirlemek için müdahalesiz kontroller gerçekleştirir.
Yetkili güvenlik araştırması için Exploit özelliği, anahtar tabanlı eşleştirme bypass’ı, BR/EDR adresi çıkarma ve Bluetooth Classic bağlama dahil olmak üzere tüm saldırı zincirini gösterir.
| Özellik | Tanım |
|---|---|
| BLE Tarayıcı | Hızlı Eşleştirme cihazlarını gerçek zamanlı olarak algılar |
| Güvenlik Açığı Test Cihazı | CVE-2025-36911 yama durumunu güvenli bir şekilde kontrol eder |
| Demodan Yararlanma | Yetkili testler için kavram kanıtı |
| HFP Ses Erişimi | İstismardan sonra mikrofon erişimini gösterir |
| Canlı Dinleme | Sesi anında telefona aktarır |
| Ses Kaydı | Yakalanan sesi analiz için kaydeder |
| Cihaz Durum Tespiti | Eşleştirme modundaki cihazları işaretler |
| Anahtar Tabanlı Baypas | Hızlı Eşleştirme kimlik doğrulamasını gösterir |
| BR/EDR Ekstraksiyonu | Bluetooth Classic adreslerini alır |
| Klasik Bağlama | Kalıcı ses bağlantıları oluşturur |
| Hesap Anahtarı Kalıcılığı | Uzun vadeli cihaz takibini gösterir |
Kullanım sonrası yetenekler, mikrofon işlevselliği için Eller Serbest Profiline erişimi içerir.
Kullanıcılar canlı ses akışını doğrudan telefon hoparlörlerine etkinleştirebilir veya yakalanan sesi adli analiz için M4A dosyaları olarak kaydedebilir.
Güvenlik açığı, saldırganların cihazları yetkisiz olarak ele geçirmesine, ses çalmayı kontrol etmesine, konuşmaları kaydetmesine ve potansiyel olarak Google’ın Find Hub Ağı üzerinden kalıcı izleme kurmasına olanak tanıyor.
Bir cihaz daha önce bir Android cihaza bağlanmamışsa saldırganlar, ilk Hesap Anahtarı yazıcısını cihazın sahibi olarak atayan mekanizmayı kullanarak konum takibi için cihazı kendi hesaplarına ekleyebilir.
Etkilenen üreticiler arasında JBL, Harman Kardon, Sony, Marshall ve diğer birçok üretici yer alıyor ve dünya çapında tahminen yüz milyonlarca kullanıcıyı etkiliyor.
Teknik Gereksinimler ve Kurulum Seçenekleri
| Kategori | Detaylar |
|---|---|
| Asgari Android Sürümü | Android 8.0 (API 26) veya üzeri |
| Bluetooth Desteği | Bluetooth Düşük Enerji (BLE) gereklidir |
| İzinler | Konum izinleri (veya Android 13+ sürümlerinde Yakındaki Cihazlar) |
| Kurulum – APK | Sürümlerden önceden derlenmiş APK’yı indirin |
| Kurulum – Kaynak Yapısı | Gradle kullanarak kaynaktan derleme |
Google bu sorunu kritik olarak sınıflandırdı ve araştırmacılara maksimum 15.000 ABD doları tutarında ödül verdi. 150 günlük açıklama süresi Ocak 2026’da sona erdi ve üreticiler artık yamalar yayınlıyor.
WPair, takip yazılımı uygulamasıyla ilgili etik sınırları korumak için Find Hub Ağı sağlama işlevini açıkça hariç tutar.
WPair, Bluetooth LE desteği ve uygun konum izinlerine sahip Android 8.0 veya üzerini gerektirir. Uygulama hem önceden derlenmiş bir APK olarak hem de Gradle aracılığıyla derlenmiş bir kaynak olarak mevcuttur.
Öneriye göre, güvenlik araştırmacılarının, sahip olmadıkları cihazları test etmeden önce açık yazılı yetkiye sahip olduklarını doğrulamaları gerekiyor.
Araç, IoT ses ekosistemi için güvenlik açığı değerlendirmesinde önemli bir ilerlemeyi temsil ediyor ve üreticilerin ve güvenlik ekiplerinin, anında ürün yazılımı güncellemeleri gerektiren etkilenen cihazları belirlemesine olanak tanıyor.
Günlük siber güvenlik güncellemeleri için bizi Google Haberler, LinkedIn ve X’te takip edin. Hikayelerinizi öne çıkarmak için bizimle iletişime geçin.
