CVE-2025-48593

"एक अकेला दुर्भावनापूर्ण पैकेट आपके डिवाइस को अपने कब्ज़े में ले सकता है।" — एंड्रॉइड सुरक्षा टीम, नवंबर 2025

एंड्रॉइड सिस्टम (ब्लूटूथ सबसिस्टम) में ज़ीरो-क्लिक दूरस्थ कोड निष्पादन

⚠️ महत्वपूर्ण दायरा स्पष्टीकरण (अप्रैल 2026 में अपडेट किया गया)

मानक फ़ोन और टैबलेट असुरक्षित नहीं हैं। CVE-2025-48593 केवल उन एंड्रॉइड डिवाइसों को प्रभावित करता है जो ब्लूटूथ हेडफ़ोन/स्पीकर के रूप में कार्य करने का समर्थन करते हैं — जैसे स्मार्टवॉच, स्मार्ट ग्लास, और कारें। इसके अतिरिक्त, हमलावर को हेडसेट सेवा का शोषण करने से पहले पीड़ित से ब्लूटूथ पेयरिंग अनुरोध स्वीकार करवाना आवश्यक है। पेयरिंग अनुरोध को अस्वीकार करना मात्र सुरक्षा प्रदान करता है। स्रोत: स्वतंत्र PoC शोधकर्ता (worthdoingbadly.com, दिसंबर 2025)

भेद्यता स्नैपशॉट

⚠️ नोट: मूल अनुमानित CVSS 9.8 को संशोधित कर दिया गया है। NVD ने आधिकारिक तौर पर स्कोर 7.8 (उच्च) की पुष्टि की है। यह भेद्यता पूर्ण रूप से दूरस्थ नेटवर्क-स्तरीय के बजाय स्थानीय-हमला-वेक्टर है।

प्रभावित डिवाइस और संस्करण

2025-11-01 या उसके बाद के पैच स्तर वाले डिवाइस सुरक्षित हैं।

✅ GrapheneOS उपयोगकर्ता hardened_malloc और हार्डवेयर मेमोरी टैगिंग के माध्यम से अतिरिक्त रूप से सुरक्षित हैं, जो बिना पैच वाले बिल्ड पर भी इस प्रकार की मेमोरी भ्रष्टाचार भेद्यता को काफी हद तक कम करते हैं।

मूल कारण और तकनीकी विवरण

यह भेद्यता ब्लूटूथ सबसिस्टम में स्थित है, विशेष रूप से bta_hf_client_main.cc के भीतर bta_hf_client_cb_init फ़ंक्शन में। यह ब्लूटूथ हैंड्स-फ़्री प्रोफ़ाइल (HFP) क्लाइंट कार्यान्वयन में use-after-free दोष है। इस सुधार में ब्लूटूथ मॉड्यूल के लिए दो कमिट शामिल थे।

// Simplified pseudocode illustrating the vulnerable path
void bta_hf_client_cb_init(tBTA_HF_CLIENT_CB *client_cb) {
    free(client_cb->p_disc_db);        // SDP discovery DB freed on error
    // ... other processing ...
    use(client_cb->p_disc_db);         // ⚠️ use-after-free! CVE-2025-48593
    execute_callback(client_cb);        // attacker-controlled code path
}

सटीक ट्रिगर: पैच से पहले, जब कोई फ़ोन SDP डिस्कवरी का उत्तर त्रुटि के साथ देता है, तो bta_hf_client_sdp_cback BTA_HF_CLIENT_DISC_INT_RES_EVT उत्सर्जित करता है, जिससे tSDP_DISCOVERY_DB मुक्त हो जाता है जबकि एक पुराना पॉइंटर (client_cb->p_disc_db) अभी भी अनावंटित पूल में मौजूद होता है — जिससे शोषण के लिए तैयार एक लटकता हुआ संदर्भ पीछे रह जाता है।

हमला वेक्टर: SDP नेगोशिएशन के दौरान HFP हैंडलर को ट्रिगर करने के लिए गढ़े गए दुर्भावनापूर्ण ब्लूटूथ पैकेट।

प्रभाव: असुरक्षित हैंडलर किसी उपयोगकर्ता इंटरैक्शन की आवश्यकता के बिना एक विशेषाधिकार प्राप्त ब्लूटूथ प्रक्रिया संदर्भ में चलता है, जिससे मौन कोड निष्पादन संभव होता है।

⚠️ यह दोष केवल ब्लूटूथ हेडसेट/स्पीकर क्लाइंट के रूप में कार्य करने वाले डिवाइसों को प्रभावित करता है (जैसे, स्मार्टवॉच, स्मार्ट ग्लास, एंड्रॉइड ऑटोमोटिव)। मानक फ़ोन और टैबलेट डिफ़ॉल्ट रूप से HFP हेडसेट सेवा को उजागर नहीं करते हैं।

एक्सप्लॉइट स्थिति (अप्रैल 2026 में अपडेट किया गया)

तत्काल शमन कदम

# 1. Check your patch level
adb shell getprop ro.build.version.security_patch
# → Should show: 2025-11-01 or later

उपयोगकर्ताओं के लिए

1. अभी अपडेट करें — ⚙️ सेटिंग → सिस्टम → सिस्टम अपडेट
2. Play प्रोटेक्ट सक्षम करें — Google Play → Play प्रोटेक्ट → स्कैन
3. उपयोग में न होने पर ब्लूटूथ बंद करें — विशेष रूप से सार्वजनिक स्थानों में (स्मार्टवॉच/ग्लास/कार उपयोगकर्ताओं के लिए महत्वपूर्ण)
4. अज्ञात ब्लूटूथ पेयरिंग अनुरोधों को अस्वीकार करें — शोषण से पहले हमलावर को स्वीकृत पेयरिंग की आवश्यकता होती है
5. अविश्वसनीय स्रोतों से ऐप्स साइडलोड न करें

एंटरप्राइज़ / OEM के लिए

• 2025-11-05 सुरक्षा पैच को AOSP के माध्यम से लागू करें
• MDM/EMM के माध्यम से पैच रोलआउट लागू करें; संवेदनशील संसाधनों से बिना पैच वाले डिवाइसों को ब्लॉक करें
• असामान्य ब्लूटूथ ट्रैफ़िक और अप्रत्याशित कर्नेल क्रैश के लिए निगरानी रखें
• प्लेटफ़ॉर्म शमन लागू करें: ASLR, स्टैक केनरी, CFI जहाँ संभव हो
• उच्च-जोखिम वाले परिनियोजन के लिए GrapheneOS या हार्डन्ड बिल्ड पर विचार करें — hardened_malloc और HW मेमोरी टैगिंग इस प्रकार के दोष को कम करते हैं
• सिस्टम/ब्लूटूथ सीमाओं पर इनपुट सत्यापन सख्त करें

शोधकर्ताओं के लिए

केवल उन्हीं डिवाइसों पर परीक्षण करें जो आपके स्वामित्व में हैं या जिनके परीक्षण की स्पष्ट अनुमति आपके पास है। बिना प्रोडक्शन कनेक्टिविटी वाली पृथक प्रयोगशालाओं का उपयोग करें। समन्वित प्रकटीकरण का पालन करें। हथियारबंद एक्सप्लॉइट कोड कभी प्रकाशित न करें।

तकनीकी हमला श्रृंखला

शोषण प्रवाह

sequenceDiagram
    participant Attacker as Attacker
    participant BT as Bluetooth Channel
    participant Device as Android Device (Headset Mode)
    participant System as Bluetooth HFP Handler

    Attacker->>Device: Request Bluetooth Pairing
    Device-->>Attacker: Victim accepts pairing
    Attacker->>BT: Send Malformed HFP SDP Packet
    BT->>Device: Deliver Packet (Zero further interaction)
    Device->>System: bta_hf_client_sdp_cback(error)
    Note over System: p_disc_db freed, dangling pointer remains
    Note over System: ⚠️ Use-After-Free triggered
    System-->>Device: Corrupted memory / dangling pointer
    Device->>System: Execute attacker-controlled code
    System->>Attacker: Remote Shell / Data Exfiltration
    Note over Device,System: Full RCE Achieved

पैच लागू करने का प्रवाह

graph TD
    A[Google Releases Patch\nNov 1/5, 2025] --> B{OEM Integration}
    B --> C[Samsung, OnePlus, etc.]
    B --> D[Google Pixel]
    B --> E[LineageOS ✅ Patched]
    B --> F[GrapheneOS ✅ Patched\n+ hardened_malloc mitigation]
    C --> G[Monthly Security Update]
    D --> H[Pixel OTA Push]
    G & H & E & F --> I[User Installs Update]
    I --> J[Patch Level: 2025-11-01+]
    J --> K[✅ CVE-2025-48593 Mitigated]
    style A fill:#1976d2,color:#fff
    style K fill:#1b5e20,color:#fff
    style I fill:#ff9800,color:#fff

गहराई में रक्षा

graph LR
    subgraph "Prevention"
        P1[Apply Nov 2025 Patch]
        P2[Disable Unused Bluetooth]
        P3[Google Play Protect]
        P4[Decline Unknown BT Pairings]
        P5[Use GrapheneOS / Hardened Build]
    end
    subgraph "Detection"
        D1[Monitor Anomalous BT Traffic]
        D2[Watch for Bluetooth Service Crashes]
        D3[Endpoint Forensics]
    end
    subgraph "Response"
        R1[Isolate Device]
        R2[Force OTA Update]
        R3[Report to Google/OEM]
    end
    P1 & P2 & P3 & P4 & P5 --> D1 & D2 & D3 --> R1 & R2 & R3
    style P1 fill:#1b5e20,color:#fff
    style R1 fill:#b71c1c,color:#fff

संबंधित CVE

CVE-2025-48633 और CVE-2025-48572 को 2 दिसंबर, 2025 को CISA Known Exploited Vulnerabilities (KEV) कैटलॉग में जोड़ा गया था। अमेरिकी संघीय एजेंसियों को 23 दिसंबर, 2025 तक पैच लगाने का निर्देश दिया गया था।

परिवर्तन लॉग

संदर्भ

• 🔗 एंड्रॉइड सुरक्षा बुलेटिन – नवंबर 2025
• 🔍 NVD प्रविष्टि – CVE-2025-48593
• 🛠️ AOSP पैच – Android Git में CVE-2025-48593 खोजें
• 📋 CISA KEV कैटलॉग
• 🔗 SOC Prime विश्लेषण
• 🔗 Wiz भेद्यता डेटाबेस
• 🔗 SentinelOne तकनीकी विश्लेषण
• 🔬 स्वतंत्र PoC अनुसंधान – worthdoingbadly.com (पुष्टि करता है कि फ़ोन/टैबलेट प्रभावित नहीं हैं)
• 💬 GrapheneOS चर्चा – तकनीकी विवरण
• 🐙 blueshrimp PoC – GitHub