CVE-2025-48593

"Un singolo pacchetto dannoso può compromettere il tuo dispositivo." — Android Security Team, novembre 2025

Esecuzione remota di codice zero-click nel sistema Android (sottosistema Bluetooth)

⚠️ Chiarimento critico sull'ambito di applicazione (aggiornato ad aprile 2026)

I telefoni e i tablet standard NON sono vulnerabili. CVE-2025-48593 colpisce solo i dispositivi Android che supportano la funzione di cuffie/casse Bluetooth — come smartwatch, smart glasses e auto. Inoltre, un attaccante deve convincere la vittima ad accettare una richiesta di associazione Bluetooth prima di sfruttare il servizio headset. Il semplice rifiuto della richiesta di associazione offre protezione. Fonte: Ricercatore indipendente di PoC (worthdoingbadly.com, dicembre 2025)

Riepilogo della vulnerabilità

⚠️ Nota: Il CVSS stimato originariamente di 9.8 è stato rivisto. NVD ha ufficialmente confermato il punteggio come 7.8 (ALTO). La vulnerabilità ha un vettore di attacco locale, non un livello di rete completamente remoto.

Dispositivi e versioni interessati

I dispositivi con livello di patch 2025-11-01 o successivo sono protetti.

✅ Gli utenti di GrapheneOS sono inoltre protetti tramite hardened_malloc e l'hardware memory tagging, che mitigano significativamente questa classe di vulnerabilità di corruzione della memoria anche su build non patchate.

Causa principale e analisi tecnica

La vulnerabilità risiede nel sottosistema Bluetooth, in particolare nella funzione bta_hf_client_cb_init all'interno di bta_hf_client_main.cc. Si tratta di un difetto use-after-free nell'implementazione del client Bluetooth Hands-Free Profile (HFP). La correzione ha coinvolto due commit al modulo Bluetooth.

// Simplified pseudocode illustrating the vulnerable path
void bta_hf_client_cb_init(tBTA_HF_CLIENT_CB *client_cb) {
    free(client_cb->p_disc_db);        // SDP discovery DB freed on error
    // ... other processing ...
    use(client_cb->p_disc_db);         // ⚠️ use-after-free! CVE-2025-48593
    execute_callback(client_cb);        // attacker-controlled code path
}

Trigger preciso: Prima della patch, quando un telefono risponde a una scoperta SDP con un errore, bta_hf_client_sdp_cback emette BTA_HF_CLIENT_DISC_INT_RES_EVT, causando la liberazione di tSDP_DISCOVERY_DB mentre un puntatore obsoleto (client_cb->p_disc_db) esiste ancora nel pool non allocato — lasciando un riferimento pendente pronto per essere sfruttato.

Vettori di attacco: Pacchetti Bluetooth malformati realizzati per attivare il gestore HFP durante la negoziazione SDP.

Impatto: Il gestore vulnerabile viene eseguito in un contesto di processo Bluetooth privilegiato senza richiedere alcuna interazione da parte dell'utente, consentendo l'esecuzione silenziosa di codice.

⚠️ Il difetto colpisce solo i dispositivi che fungono da client headset/casse Bluetooth (ad es. smartwatch, smart glasses, Android Automotive). I telefoni e i tablet standard non espongono il servizio headset HFP per impostazione predefinita.

Stato dell'exploit (aggiornato: aprile 2026)

Passaggi di mitigazione immediati

# 1. Check your patch level
adb shell getprop ro.build.version.security_patch
# → Should show: 2025-11-01 or later

Per gli utenti

1. Aggiorna ora — ⚙️ Impostazioni → Sistema → Aggiornamento di sistema
2. Attiva Play Protect — Google Play → Play Protect → Scansione
3. Disattiva il Bluetooth quando non in uso — soprattutto negli spazi pubblici (fondamentale per gli utenti di smartwatch/glasses/auto)
4. Rifiuta le richieste di associazione Bluetooth sconosciute — l'attaccante richiede un'associazione accettata prima dello sfruttamento
5. Non eseguire il sideload di app da fonti non attendibili

Per aziende / OEM

• Applicare la patch di sicurezza 2025-11-05 tramite AOSP
• Imporre la distribuzione delle patch tramite MDM/EMM; bloccare i dispositivi non patchati dalle risorse sensibili
• Monitorare il traffico Bluetooth anomalo e i crash imprevisti del kernel
• Applicare le mitigazioni di piattaforma: ASLR, stack canaries, CFI dove possibile
• Valutare GrapheneOS o build indurite per distribuzioni ad alto rischio — hardened_malloc e l'HW memory tagging mitigano questa classe di difetti
• Indurire la validazione degli input ai confini di sistema/Bluetooth

Per i ricercatori

Eseguire test solo su dispositivi di propria proprietà o per i quali si dispone di esplicita autorizzazione. Utilizzare laboratori isolati senza connettività di produzione. Seguire la divulgazione coordinata. Non pubblicare mai codice di exploit weaponizzato.

Catena di attacco tecnica

Flusso di sfruttamento

sequenceDiagram
    participant Attacker as Attacker
    participant BT as Bluetooth Channel
    participant Device as Android Device (Headset Mode)
    participant System as Bluetooth HFP Handler

    Attacker->>Device: Request Bluetooth Pairing
    Device-->>Attacker: Victim accepts pairing
    Attacker->>BT: Send Malformed HFP SDP Packet
    BT->>Device: Deliver Packet (Zero further interaction)
    Device->>System: bta_hf_client_sdp_cback(error)
    Note over System: p_disc_db freed, dangling pointer remains
    Note over System: ⚠️ Use-After-Free triggered
    System-->>Device: Corrupted memory / dangling pointer
    Device->>System: Execute attacker-controlled code
    System->>Attacker: Remote Shell / Data Exfiltration
    Note over Device,System: Full RCE Achieved

Flusso di applicazione della patch

graph TD
    A[Google Releases Patch\nNov 1/5, 2025] --> B{OEM Integration}
    B --> C[Samsung, OnePlus, etc.]
    B --> D[Google Pixel]
    B --> E[LineageOS ✅ Patched]
    B --> F[GrapheneOS ✅ Patched\n+ hardened_malloc mitigation]
    C --> G[Monthly Security Update]
    D --> H[Pixel OTA Push]
    G & H & E & F --> I[User Installs Update]
    I --> J[Patch Level: 2025-11-01+]
    J --> K[✅ CVE-2025-48593 Mitigated]
    style A fill:#1976d2,color:#fff
    style K fill:#1b5e20,color:#fff
    style I fill:#ff9800,color:#fff

Difesa in profondità

graph LR
    subgraph "Prevention"
        P1[Apply Nov 2025 Patch]
        P2[Disable Unused Bluetooth]
        P3[Google Play Protect]
        P4[Decline Unknown BT Pairings]
        P5[Use GrapheneOS / Hardened Build]
    end
    subgraph "Detection"
        D1[Monitor Anomalous BT Traffic]
        D2[Watch for Bluetooth Service Crashes]
        D3[Endpoint Forensics]
    end
    subgraph "Response"
        R1[Isolate Device]
        R2[Force OTA Update]
        R3[Report to Google/OEM]
    end
    P1 & P2 & P3 & P4 & P5 --> D1 & D2 & D3 --> R1 & R2 & R3
    style P1 fill:#1b5e20,color:#fff
    style R1 fill:#b71c1c,color:#fff

CVE correlate

CVE-2025-48633 e CVE-2025-48572 sono state aggiunte al catalogo CISA Known Exploited Vulnerabilities (KEV) il 2 dicembre 2025. Le agenzie federali statunitensi erano obbligate ad applicare la patch entro il 23 dicembre 2025.

Changelog

Riferimenti

• 🔗 Android Security Bulletin – novembre 2025
• 🔍 Voce NVD – CVE-2025-48593
• 🛠️ Patch AOSP – Cerca CVE-2025-48593 in Android Git
• 📋 Catalogo CISA KEV
• 🔗 Analisi di SOC Prime
• 🔗 Database delle vulnerabilità di Wiz
• 🔗 Analisi tecnica di SentinelOne
• 🔬 Ricerca PoC indipendente – worthdoingbadly.com (Conferma che telefoni/tablet non sono interessati)
• 💬 Discussione GrapheneOS – Dettagli tecnici
• 🐙 blueshrimp PoC – GitHub