WPair

CVE-2025-36911 (ex WhisperPair) Scanner de vulnérabilités et outil de recherche

Fonctionnalités • Installation • Utilisation • Fonctionnement • Vulnérabilité • Crédits

Avertissement

Cette application est une implémentation indépendante créée par @ZalexDev de sa propre initiative. Les chercheurs originaux de la KU Leuven ont découvert et divulgué la vulnérabilité mais n'ont publié aucun code et ne sont pas affiliés à ce projet. Leur inclusion dans les crédits vise uniquement à reconnaître leur contribution à la recherche.

Présentation

WPair est un outil de recherche en sécurité défensive qui démontre la vulnérabilité CVE-2025-36911 dans le protocole Fast Pair de Google. Cette vulnérabilité affecte des millions d'appareils audio Bluetooth dans le monde, permettant un appairage non autorisé et un accès potentiel au microphone sans consentement de l'utilisateur.

Objectif : Aider les chercheurs en sécurité, les fabricants d'appareils et les utilisateurs finaux à identifier les appareils vulnérables nécessitant des mises à jour du firmware.

Fonctionnalités

Captures d'écran

Note sur le suivi via le réseau Find Hub (FMDN)

Cet outil n'inclut délibérément pas de fonctionnalité de provisionnement FMDN. Bien que la chaîne de vulnérabilité permette techniquement d'enrôler des appareils compromis dans le réseau Find Hub de Google pour un suivi de localisation persistant, j'ai choisi de ne pas implémenter cette capacité. Transformer les écouteurs de quelqu'un en balise de suivi clandestine franchit une ligne éthique claire entre la recherche en sécurité et le stalkerware. Les démonstrations d'écriture de clé de compte et d'accès audio sont suffisantes pour prouver la gravité de la vulnérabilité.

Installation

Prérequis

• Android 8.0 (API 26) ou supérieur
• Support Bluetooth LE
• Permission de localisation (requise pour le scan BLE sur Android) / Appareils à proximité (A13+)

Téléchargement

1. Allez dans la section Releases
2. Téléchargez la dernière version WPair-vX.X.X.apk
3. Activez « Installer depuis des sources inconnues » si demandé
4. Installez et accordez les permissions requises

Compiler depuis les sources

git clone https://github.com/zalexdev/whisper-pair-app.git
cd whisper-pair-app
./gradlew assembleDebug

Utilisation

1. Scanner les appareils

Appuyez sur Scan pour découvrir les appareils Fast Pair à proximité. Les appareils en mode appairage afficheront un badge « Appairage ».

2. Tester la vulnérabilité

Pour les appareils non en mode appairage, appuyez sur Test pour vérifier s'ils sont vulnérables. Cette opération est non invasive et ne s'appaire pas avec l'appareil.

3. Exploit (Tests autorisés uniquement)

Pour les appareils vulnérables, appuyez sur Magic pour démontrer la chaîne d'exploit complète :

• Contournement de l'appairage basé sur les clés
• Extraction d'adresse BR/EDR
• Liaison Bluetooth Classic
• Persistance de la clé de compte

4. Accès audio

Après l'appairage réussi :

1. Appuyez sur Connect Audio (HFP) pour établir le profil mains libres
2. Utilisez Live pour une écoute en temps réel via le haut-parleur du téléphone
3. Utilisez Record pour enregistrer l'audio en fichier M4A

Fonctionnement

sequenceDiagram
    participant App as WPair
    participant Target as Vulnerable Device
    participant BT as Android Bluetooth

    App->>Target: BLE Scan (0xFE2C service)
    Target-->>App: Fast Pair Advertisement

    Note over App: Vulnerability Test
    App->>Target: GATT Connect
    App->>Target: Read Model ID
    App->>Target: Write Key-Based Pairing (no signature)
    Target-->>App: Response (Vulnerable if accepted)

    Note over App: Exploitation
    App->>Target: Key-Based Pairing Request
    Target-->>App: Encrypted Response + BR/EDR Address
    App->>BT: createBond(BR/EDR Address)
    BT->>Target: Bluetooth Classic Pairing
    Target-->>BT: Pairing Complete

    Note over App: Audio Access
    App->>BT: Connect HFP Profile
    BT->>Target: HFP Connection
    App->>BT: Start SCO Audio
    Target-->>App: Microphone Stream

Flux d'attaque

flowchart LR
    A[Scan] --> B{Fast Pair<br>Device?}
    B -->|Yes| C[Test Vulnerability]
    B -->|No| A
    C --> D{Vulnerable?}
    D -->|Yes| E[Exploit]
    D -->|No| F[Patched ✓]
    E --> G[Pair Device]
    G --> H[Connect HFP]
    H --> I[Access Microphone]

Vulnérabilité

CVE-2025-36911 : Contournement de l'authentification d'appairage basé sur les clés Fast Pair (également connu sous le nom de WhisperPair)

Sévérité : Élevée Score CVSS : 8.1 Affecté : Implémentations du protocole Fast Pair de Google

Détails techniques

Le protocole Fast Pair utilise l'appairage basé sur les clés pour authentifier les demandes d'appairage. La vulnérabilité existe car :

1. Absence de vérification de signature : De nombreux appareils acceptent les demandes d'appairage basé sur les clés sans valider la signature cryptographique
2. Absence de confirmation utilisateur : Le protocole ne nécessite pas de consentement explicite de l'utilisateur pour l'appairage
3. Accès persistant : Les attaquants peuvent écrire des clés de compte pour un suivi permanent de l'appareil

Impact

• Appairage non autorisé : L'attaquant s'appaire avec les écouteurs de la victime sans consentement
• Accès au microphone : Accès complet au microphone de l'appareil via le profil HFP
• Suivi de localisation : Suivi persistant via la publicité de la clé de compte

Appareils concernés

Les principaux fabricants concernés incluent :

• JBL
• Harman Kardon
• Sony (certains modèles)
• Marshall
• Et bien d'autres...

Structure du projet

WhisperPair/
├── app/src/main/java/com/zalexdev/whisperpair/
│   ├── MainActivity.kt          # UI et navigation
│   ├── Scanner.kt                # Scanner BLE Fast Pair
│   ├── FastPairDevice.kt         # Modèle de données d'appareil
│   ├── VulnerabilityTester.kt    # Vérification de vulnérabilité non invasive
│   ├── FastPairExploit.kt        # Implémentation de l'exploit PoC
│   └── BluetoothAudioManager.kt  # Gestion audio HFP
├── app/src/main/res/
│   └── ...                       # Ressources UI
└── README.md

Crédits

Développeur de l'application

@ZalexDev

Équipe de recherche originale

KU Leuven, Belgique

* Auteurs principaux

Financement de la recherche originale : Programme de recherche en cybersécurité du gouvernement flamand (VOEWICS02)

Ressources

• Article de recherche WhisperPair
• Vidéo de démonstration
• Groupe de recherche COSIC

Couverture médiatique

• WIRED
• 9to5Google

Avertissement légal

Cet outil est fourni uniquement à des fins de recherche en sécurité autorisée et à but éducatif.

• Testez uniquement les appareils dont vous êtes propriétaire ou pour lesquels vous avez une autorisation écrite explicite de tester
• L'accès non autorisé à des systèmes informatiques est illégal dans la plupart des juridictions
• Les développeurs ne sont pas responsables d'une mauvaise utilisation de cet outil
• Cet outil vise à aider à identifier les appareils vulnérables à des fins de correction

En utilisant ce logiciel, vous acceptez de l'utiliser de manière responsable et conformément à toutes les lois applicables.

Voir aussi

Soutenir le développement

Si vous trouvez WhisperPair utile pour vos recherches en sécurité :

Dons en cryptomonnaies :

TRC20 (USDT): TXVt15poW3yTBb7zSdaBRuyFsGCpFyg8CU

Licence

Ce projet est sous licence Apache 2.0 - voir le fichier LICENSE pour plus de détails.

_{Construit avec ❤️ pour la communauté de recherche en sécurité}