CVE-2025-48593

"Un singolo pacchetto dannoso può compromettere il tuo dispositivo." — Android Security Team, novembre 2025

Esecuzione remota di codice zero-click nel sistema Android (sottosistema Bluetooth)

---

⚠️ Chiarimento critico sull'ambito di applicazione (aggiornato ad aprile 2026)

I telefoni e i tablet standard NON sono vulnerabili. CVE-2025-48593 colpisce solo i dispositivi Android che supportano la funzione di cuffie/casse Bluetooth — come smartwatch, smart glasses e auto. Inoltre, un attaccante deve convincere la vittima ad accettare una richiesta di associazione Bluetooth prima di sfruttare il servizio headset. Il semplice rifiuto della richiesta di associazione offre protezione. Fonte: Ricercatore indipendente di PoC (worthdoingbadly.com, dicembre 2025)

---

Riepilogo della vulnerabilità

Attributo	Dettagli
CVE ID	CVE-2025-48593
Gravità	Critica (RCE, Zero-Click)
Punteggio CVSS v3.1	7.8 (ALTO) ✅ Confermato da NVD
Vettore CVSS	AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Vettore di attacco	Locale / Rete (Bluetooth)
Interazione utente	❌ Nessuna richiesta
Privilegi richiesti	❌ Nessuno
Causa principale	Use-After-Free in bta_hf_client_cb_init (bta_hf_client_main.cc)
Android Bug ID	A-374746961
Stato exploit	⚠️ PoC su emulatore esistente — Nessun attacco confermato su dispositivi reali
Divulgato	3 novembre 2025 (Android Security Bulletin di novembre di Google)

⚠️ Nota: Il CVSS stimato originariamente di 9.8 è stato rivisto. NVD ha ufficialmente confermato il punteggio come 7.8 (ALTO). La vulnerabilità ha un vettore di attacco locale, non un livello di rete completamente remoto.

---

Dispositivi e versioni interessati

Versione Android	Build interessate
Android 13	Tutte le build ott 2023 – ott 2025
Android 14	Tutte le build ott 2023 – ott 2025
Android 15	Tutte le build fino a ott 2025
Android 16	Build lug 2025 – ott 2025 ⚠️

I dispositivi con livello di patch 2025-11-01 o successivo sono protetti.

✅ Gli utenti di GrapheneOS sono inoltre protetti tramite hardened_malloc e l'hardware memory tagging, che mitigano significativamente questa classe di vulnerabilità di corruzione della memoria anche su build non patchate.

---

Causa principale e analisi tecnica

La vulnerabilità risiede nel sottosistema Bluetooth, in particolare nella funzione bta_hf_client_cb_init all'interno di bta_hf_client_main.cc. Si tratta di un difetto use-after-free nell'implementazione del client Bluetooth Hands-Free Profile (HFP). La correzione ha coinvolto due commit al modulo Bluetooth.

// Simplified pseudocode illustrating the vulnerable path
void bta_hf_client_cb_init(tBTA_HF_CLIENT_CB *client_cb) {
    free(client_cb->p_disc_db);        // SDP discovery DB freed on error
    // ... other processing ...
    use(client_cb->p_disc_db);         // ⚠️ use-after-free! CVE-2025-48593
    execute_callback(client_cb);        // attacker-controlled code path
}

Trigger preciso: Prima della patch, quando un telefono risponde a una scoperta SDP con un errore, bta_hf_client_sdp_cback emette BTA_HF_CLIENT_DISC_INT_RES_EVT, causando la liberazione di tSDP_DISCOVERY_DB mentre un puntatore obsoleto (client_cb->p_disc_db) esiste ancora nel pool non allocato — lasciando un riferimento pendente pronto per essere sfruttato.

Vettori di attacco: Pacchetti Bluetooth malformati realizzati per attivare il gestore HFP durante la negoziazione SDP.

Impatto: Il gestore vulnerabile viene eseguito in un contesto di processo Bluetooth privilegiato senza richiedere alcuna interazione da parte dell'utente, consentendo l'esecuzione silenziosa di codice.

⚠️ Il difetto colpisce solo i dispositivi che fungono da client headset/casse Bluetooth (ad es. smartwatch, smart glasses, Android Automotive). I telefoni e i tablet standard non espongono il servizio headset HFP per impostazione predefinita.

---

Stato dell'exploit (aggiornato: aprile 2026)

Stato	Dettagli
PoC pubblico	⚠️ PoC di crash su emulatore esistente (fa crashare solo il servizio Bluetooth) — non supera l'ASLR
Attacchi su dispositivi reali	✅ Nessuno documentato ad aprile 2026
Exploit weaponizzato	❌ Nessun exploit weaponizzato confermato; il PoC non è utilizzabile da attaccanti reali
Vendite fraudolente di exploit	⚠️ Segnalate — probabilmente malware/truffe, non exploit funzionanti
Associazioni con malware	⚠️ Airstalk e Chrysaor citati da alcune fonti — non verificati, trattare con cautela
Patch LineageOS	✅ Integrata nel sorgente di LineageOS

---

Passaggi di mitigazione immediati

# 1. Check your patch level
adb shell getprop ro.build.version.security_patch
# → Should show: 2025-11-01 or later

Per gli utenti

1. Aggiorna ora — ⚙️ Impostazioni → Sistema → Aggiornamento di sistema
2. Attiva Play Protect — Google Play → Play Protect → Scansione
3. Disattiva il Bluetooth quando non in uso — soprattutto negli spazi pubblici (fondamentale per gli utenti di smartwatch/glasses/auto)
4. Rifiuta le richieste di associazione Bluetooth sconosciute — l'attaccante richiede un'associazione accettata prima dello sfruttamento
5. Non eseguire il sideload di app da fonti non attendibili

Per aziende / OEM

• Applicare la patch di sicurezza 2025-11-05 tramite AOSP
• Imporre la distribuzione delle patch tramite MDM/EMM; bloccare i dispositivi non patchati dalle risorse sensibili
• Monitorare il traffico Bluetooth anomalo e i crash imprevisti del kernel
• Applicare le mitigazioni di piattaforma: ASLR, stack canaries, CFI dove possibile
• Valutare GrapheneOS o build indurite per distribuzioni ad alto rischio — hardened_malloc e l'HW memory tagging mitigano questa classe di difetti
• Indurire la validazione degli input ai confini di sistema/Bluetooth

Per i ricercatori

Eseguire test solo su dispositivi di propria proprietà o per i quali si dispone di esplicita autorizzazione. Utilizzare laboratori isolati senza connettività di produzione. Seguire la divulgazione coordinata. Non pubblicare mai codice di exploit weaponizzato.

---

Catena di attacco tecnica