WPair

CVE-2025-36911（例: WhisperPair）脆弱性スキャナー＆研究ツール

特徴 • インストール • 使い方 • 動作の仕組み • 脆弱性 • クレジット

免責事項

このアプリケーションは @ZalexDev が個人の立場で作成した独自実装です。元の KU Leuven の研究者らはこの脆弱性を発見・開示しましたが、コードは一切公開しておらず、本プロジェクトとは関係ありません。クレジットへの記載は、彼らの研究貢献を称えることのみを目的としています。

概要

WPair は、Google の Fast Pair プロトコルにおける CVE-2025-36911 の脆弱性を実証する、防御的なセキュリティ研究ツールです。この脆弱性は世界中の何百万もの Bluetooth オーディオデバイスに影響を与え、ユーザーの同意なしに不正なペアリングやマイクへのアクセスを可能にします。

目的: セキュリティ研究者、デバイスメーカー、エンドユーザーが、ファームウェアの更新が必要な脆弱なデバイスを特定できるようにすること。

機能

スクリーンショット

Find Hub Network (FMDN) トラッキングに関する注記

このツールは、意図的に FMDN プロビジョニング機能を含めていません。脆弱性チェーンは技術的には、侵害されたデバイスを Google の Find Hub Network に登録して永続的な位置追跡を行うことを可能にしますが、私はこの機能を実装しないことを選択しました。他人のヘッドホンを秘密の追跡ビーコンに変えることは、セキュリティ研究からストーカーウェアの領域へと明確に越える倫理的な一線です。Account Key の書き込みとオーディオアクセスのデモンストレーションは、この脆弱性の重大性を証明するのに十分です。

インストール

要件

• Android 8.0 (API 26) 以上
• Bluetooth LE サポート
• 位置情報の許可（Android での BLE スキャンに必須）/ 周辺デバイス（Android 13+）

ダウンロード

1. Releases に移動します
2. 最新の WPair-vX.X.X.apk をダウンロードします
3. プロンプトが表示されたら「不明なソースからのインストール」を有効にします
4. インストールして必要な権限を許可します

ソースからビルド

git clone https://github.com/zalexdev/whisper-pair-app.git
cd whisper-pair-app
./gradlew assembleDebug

使い方

1. デバイスをスキャン

Scan をタップして、近くの Fast Pair デバイスを発見します。ペアリングモードのデバイスには「Pairing」バッジが表示されます。

2. 脆弱性をテスト

ペアリングモードではないデバイスの場合、Test をタップして脆弱かどうかを確認します。これは非侵襲的であり、デバイスとはペアリングしません。

3. エクスプロイト（許可されたテストのみ）

脆弱なデバイスの場合、Magic をタップして完全なエクスプロイトチェーンを実演します:

• キーベースペアリングのバイパス
• BR/EDR アドレスの抽出
• Bluetooth Classic のボンディング
• Account Key の永続化

4. オーディオアクセス

ペアリングが成功した後:

1. Connect Audio (HFP) をタップしてハンズフリープロファイルを確立します
2. Live を使用してスマートフォンのスピーカーからリアルタイムで聴取します
3. Record を使用して音声を M4A ファイルとして保存します

動作の仕組み

sequenceDiagram
    participant App as WPair
    participant Target as Vulnerable Device
    participant BT as Android Bluetooth

    App->>Target: BLE Scan (0xFE2C service)
    Target-->>App: Fast Pair Advertisement

    Note over App: Vulnerability Test
    App->>Target: GATT Connect
    App->>Target: Read Model ID
    App->>Target: Write Key-Based Pairing (no signature)
    Target-->>App: Response (Vulnerable if accepted)

    Note over App: Exploitation
    App->>Target: Key-Based Pairing Request
    Target-->>App: Encrypted Response + BR/EDR Address
    App->>BT: createBond(BR/EDR Address)
    BT->>Target: Bluetooth Classic Pairing
    Target-->>BT: Pairing Complete

    Note over App: Audio Access
    App->>BT: Connect HFP Profile
    BT->>Target: HFP Connection
    App->>BT: Start SCO Audio
    Target-->>App: Microphone Stream

攻撃フロー

flowchart LR
    A[Scan] --> B{Fast Pair<br>Device?}
    B -->|Yes| C[Test Vulnerability]
    B -->|No| A
    C --> D{Vulnerable?}
    D -->|Yes| E[Exploit]
    D -->|No| F[Patched ✓]
    E --> G[Pair Device]
    G --> H[Connect HFP]
    H --> I[Access Microphone]

脆弱性

CVE-2025-36911: Fast Pair キーベースペアリング認証バイパス（別名 WhisperPair）

深刻度: 高 CVSS スコア: 8.1 影響を受ける対象: Google Fast Pair プロトコルの実装

技術的詳細

Fast Pair プロトコルは、ペアリング要求の認証にキーベースペアリングを使用します。この脆弱性は以下の理由で存在します:

1. 署名検証の欠如: 多くのデバイスが、暗号署名を検証せずにキーベースペアリング要求を受け入れます
2. ユーザー確認なし: このプロトコルはペアリングに明示的なユーザーの同意を必要としません
3. 永続的なアクセス: 攻撃者は Account Key を書き込むことでデバイスを恒久的に追跡できます

影響

• 不正なペアリング: 攻撃者が同意なしに被害者のヘッドホンとペアリングします
• マイクへのアクセス: HFP プロファイルを介したデバイスマイクへの完全なアクセス
• 位置追跡: Account Key のアドバタイズによる永続的な追跡

影響を受けるデバイス

主な影響を受けるメーカー:

• JBL
• Harman Kardon
• Sony（一部のモデル）
• Marshall
• その他多数...

プロジェクト構成

WhisperPair/
├── app/src/main/java/com/zalexdev/whisperpair/
│   ├── MainActivity.kt          # UI and navigation
│   ├── Scanner.kt                # BLE Fast Pair scanner
│   ├── FastPairDevice.kt         # Device data model
│   ├── VulnerabilityTester.kt    # Non-invasive vuln check
│   ├── FastPairExploit.kt        # PoC exploit implementation
│   └── BluetoothAudioManager.kt  # HFP audio handling
├── app/src/main/res/
│   └── ...                       # UI resources
└── README.md

クレジット

アプリ開発者

@ZalexDev

オリジナル研究チーム

KU Leuven、ベルギー

* 主著者

オリジナル研究への資金提供: フランダース政府サイバーセキュリティ研究プログラム（VOEWICS02）

リソース

• WhisperPair 研究論文
• デモビデオ
• COSIC 研究グループ

メディア掲載

• WIRED
• 9to5Google

法的免責事項

このツールは、許可されたセキュリティ研究および教育目的のみで提供されます。

• テストできるのは、所有しているデバイス、または明示的な書面による許可を得たデバイスのみです
• コンピュータシステムへの不正アクセスは、ほとんどの法域で違法です
• 開発者はこのツールの誤用について責任を負いません
• このツールは、是正が必要な脆弱なデバイスの特定を支援することを目的としています

本ソフトウェアを使用することで、責任を持って、適用されるすべての法律に準拠して使用することに同意したものとみなされます。

関連情報

開発のサポート

WhisperPair がセキュリティ研究に役立つと思われた場合:

暗号通貨での寄付:

TRC20 (USDT): TXVt15poW3yTBb7zSdaBRuyFsGCpFyg8CU

ライセンス

このプロジェクトは Apache License 2.0 の下でライセンスされています。詳細は LICENSE ファイルを参照してください。

_{セキュリティ研究コミュニティのために ❤️ を込めて作られました}