CVE-2025-48593

"Un solo paquete malicioso puede comprometer tu dispositivo." — Equipo de Seguridad de Android, Nov 2025

Ejecución Remota de Código Zero-Click en el Sistema Android (Subsistema Bluetooth)

⚠️ Aclaración Crítica del Alcance (Actualizado Abr 2026)

Los teléfonos y tabletas estándar NO son vulnerables. CVE-2025-48593 solo afecta a dispositivos Android que admiten actuar como auriculares/altavoces Bluetooth, como relojes inteligentes, gafas inteligentes y automóviles. Además, un atacante debe lograr que la víctima acepte una solicitud de emparejamiento Bluetooth antes de explotar el servicio de auriculares. Simplemente rechazar la solicitud de emparejamiento proporciona protección. Fuente: Investigador independiente de PoC (worthdoingbadly.com, Dic 2025)

Resumen de la Vulnerabilidad

⚠️ Nota: La estimación original de CVSS de 9.8 ha sido revisada. NVD ha confirmado oficialmente la puntuación como 7.8 (ALTA). La vulnerabilidad es de vector de ataque local, no completamente remota a nivel de red.

Dispositivos y Versiones Afectados

Los dispositivos con nivel de parche 2025-11-01 o posterior están protegidos.

✅ Los usuarios de GrapheneOS están adicionalmente protegidos mediante hardened_malloc y etiquetado de memoria por hardware, lo que mitiga significativamente esta clase de vulnerabilidad de corrupción de memoria incluso en compilaciones sin parche.

Causa Raíz y Desglose Técnico

La vulnerabilidad reside en el subsistema Bluetooth, específicamente en la función bta_hf_client_cb_init dentro de bta_hf_client_main.cc. Es un fallo de use-after-free en la implementación del cliente del Perfil Manos Libres (HFP) Bluetooth. La corrección implicó dos confirmaciones en el módulo Bluetooth.

// Pseudocódigo simplificado que ilustra la ruta vulnerable
void bta_hf_client_cb_init(tBTA_HF_CLIENT_CB *client_cb) {
    free(client_cb->p_disc_db);        // BD de descubrimiento SDP liberada en caso de error
    // ... otro procesamiento ...
    use(client_cb->p_disc_db);         // ⚠️ use-after-free! CVE-2025-48593
    execute_callback(client_cb);        // ruta de código controlada por el atacante
}

Desencadenante preciso: Antes del parche, cuando un teléfono responde a un descubrimiento SDP con un error, bta_hf_client_sdp_cback emite BTA_HF_CLIENT_DISC_INT_RES_EVT, lo que provoca que tSDP_DISCOVERY_DB se libere mientras un puntero obsoleto (client_cb->p_disc_db) aún existe en el pool no asignado, dejando una referencia colgante lista para ser explotada.

Vectores de Ataque: Paquetes Bluetooth malformados diseñados para activar el manejador HFP durante la negociación SDP.

Impacto: El manejador vulnerable se ejecuta en un contexto de proceso Bluetooth privilegiado sin requerir interacción del usuario, permitiendo una ejecución de código silenciosa.

⚠️ La falla solo afecta a dispositivos que actúan como clientes de auriculares/altavoces Bluetooth (por ejemplo, relojes inteligentes, gafas inteligentes, Android Automotive). Los teléfonos y tabletas estándar no exponen el servicio de auriculares HFP de forma predeterminada.

Estado del Exploit (Actualizado: Abr 2026)

Pasos de Mitigación Inmediata

# 1. Verifica tu nivel de parche
adb shell getprop ro.build.version.security_patch
# → Debería mostrar: 2025-11-01 o posterior

Para Usuarios

1. Actualiza Ahora — ⚙️ Ajustes → Sistema → Actualización del sistema
2. Habilita Play Protect — Google Play → Play Protect → Escanear
3. Desactiva Bluetooth cuando no esté en uso — especialmente en espacios públicos (crítico para usuarios de relojes inteligentes/gafas/automóviles)
4. Rechaza solicitudes de emparejamiento Bluetooth desconocidas — el atacante requiere emparejamiento aceptado antes de la explotación
5. No instales aplicaciones de fuentes no confiables

Para Empresas / OEM

• Aplica el parche de seguridad 2025-11-05 a través de AOSP
• Obliga a la implementación de parches mediante MDM/EMM; bloquea dispositivos sin parchear de recursos sensibles
• Monitorea tráfico Bluetooth anómalo y fallos inesperados del kernel
• Aplica mitigaciones de plataforma: ASLR, canarios de pila, CFI cuando sea posible
• Considera GrapheneOS o compilaciones reforzadas para implementaciones de alto riesgo — hardened_malloc y etiquetado de memoria HW mitigan esta clase de falla
• Refuerza la validación de entrada en los límites del sistema/Bluetooth

Para Investigadores

Solo prueba en dispositivos que poseas o para los que tengas permiso explícito. Usa laboratorios aislados sin conectividad de producción. Sigue la divulgación coordinada. Nunca publiques código de exploit armado.

Cadena de Ataque Técnica

Flujo de Explotación

sequenceDiagram
    participant Attacker as Atacante
    participant BT as Canal Bluetooth
    participant Device as Dispositivo Android (Modo Auricular)
    participant System as Manejador HFP Bluetooth

    Attacker->>Device: Solicitar emparejamiento Bluetooth
    Device-->>Attacker: Víctima acepta emparejamiento
    Attacker->>BT: Enviar paquete HFP SDP malformado
    BT->>Device: Entregar paquete (Sin interacción adicional)
    Device->>System: bta_hf_client_sdp_cback(error)
    Note over System: p_disc_db liberado, puntero colgante permanece
    Note over System: ⚠️ Use-After-Free activado
    System-->>Device: Memoria corrupta / puntero colgante
    Device->>System: Ejecutar código controlado por el atacante
    System->>Attacker: Shell remota / Exfiltración de datos
    Note over Device,System: RCE Completa Lograda

Flujo de Aplicación del Parche

graph TD
    A[Google publica el parche\n1/5 de Nov 2025] --> B{Integración OEM}
    B --> C[Samsung, OnePlus, etc.]
    B --> D[Google Pixel]
    B --> E[LineageOS ✅ Parcheado]
    B --> F[GrapheneOS ✅ Parcheado\n+ mitigación hardened_malloc]
    C --> G[Actualización de seguridad mensual]
    D --> H[Actualización OTA Pixel]
    G & H & E & F --> I[Usuario instala la actualización]
    I --> J[Nivel de parche: 2025-11-01+]
    J --> K[✅ CVE-2025-48593 Mitigado]
    style A fill:#1976d2,color:#fff
    style K fill:#1b5e20,color:#fff
    style I fill:#ff9800,color:#fff

Defensa en Profundidad

graph LR
    subgraph "Prevención"
        P1[Aplicar parche Nov 2025]
        P2[Desactivar Bluetooth no usado]
        P3[Google Play Protect]
        P4[Rechazar emparejamientos BT desconocidos]
        P5[Usar GrapheneOS / Compilación reforzada]
    end
    subgraph "Detección"
        D1[Monitorear tráfico BT anómalo]
        D2[Vigilar fallos del servicio Bluetooth]
        D3[Forense de endpoints]
    end
    subgraph "Respuesta"
        R1[Aislar dispositivo]
        R2[Forzar actualización OTA]
        R3[Reportar a Google/OEM]
    end
    P1 & P2 & P3 & P4 & P5 --> D1 & D2 & D3 --> R1 & R2 & R3
    style P1 fill:#1b5e20,color:#fff
    style R1 fill:#b71c1c,color:#fff

CVEs Relacionados

CVE-2025-48633 y CVE-2025-48572 se agregaron al catálogo CISA Known Exploited Vulnerabilities (KEV) el 2 de diciembre de 2025. Se ordenó a las agencias federales de EE. UU. parchear antes del 23 de diciembre de 2025.

Registro de Cambios

Referencias

• 🔗 Boletín de Seguridad de Android – Noviembre 2025
• 🔍 Entrada NVD – CVE-2025-48593
• 🛠️ Parche AOSP – Buscar CVE-2025-48593 en Android Git
• 📋 Catálogo CISA KEV
• 🔗 Análisis de SOC Prime
• 🔗 Base de Datos de Vulnerabilidades de Wiz
• 🔗 Análisis Técnico de SentinelOne
• 🔬 Investigación PoC Independiente – worthdoingbadly.com (Confirma que teléfonos/tabletas no están afectados)
• 💬 Discusión de GrapheneOS – Detalles Técnicos
• 🐙 blueshrimp PoC – GitHub