CVE-2025-48593

"Um único pacote malicioso pode dominar seu dispositivo." — Equipe de Segurança Android, Nov 2025

Execução Remota de Código Zero-Click no Sistema Android (Subsistema Bluetooth)

⚠️ Esclarecimento Crítico sobre o Escopo (Atualizado em Abril de 2026)

Telefones e tablets padrão NÃO são vulneráveis. O CVE-2025-48593 afeta apenas dispositivos Android que suportam atuar como fones de ouvido/ alto-falantes Bluetooth — como smartwatches, óculos inteligentes e carros. Além disso, um invasor precisa fazer com que a vítima aceite uma solicitação de pareamento Bluetooth antes de explorar o serviço de headset. Simplesmente recusar a solicitação de pareamento oferece proteção. Fonte: Pesquisador independente de PoC (worthdoingbadly.com, Dez 2025)

Visão Geral da Vulnerabilidade

⚠️ Nota: A estimativa original de CVSS de 9.8 foi revisada. O NVD confirmou oficialmente a pontuação como 7.8 (ALTA). A vulnerabilidade é de vetor de ataque local, em vez de nível de rede totalmente remoto.

Dispositivos e Versões Afetados

Dispositivos com nível de patch 2025-11-01 ou posterior estão protegidos.

✅ Os usuários do GrapheneOS estão adicionalmente protegidos via hardened_malloc e marcação de memória de hardware, que mitigam significativamente esta classe de vulnerabilidade de corrupção de memória mesmo em compilações sem patch.

Causa Raiz e Detalhamento Técnico

A vulnerabilidade reside no subsistema Bluetooth, especificamente na função bta_hf_client_cb_init dentro de bta_hf_client_main.cc. É uma falha de use-after-free na implementação do cliente Bluetooth Hands-Free Profile (HFP). A correção envolveu dois commits no módulo Bluetooth.

// Pseudocódigo simplificado ilustrando o caminho vulnerável
void bta_hf_client_cb_init(tBTA_HF_CLIENT_CB *client_cb) {
    free(client_cb->p_disc_db);        // DB de descoberta SDP liberado em erro
    // ... outro processamento ...
    use(client_cb->p_disc_db);         // ⚠️ use-after-free! CVE-2025-48593
    execute_callback(client_cb);        // caminho de código controlado pelo invasor
}

Gatilho preciso: Antes do patch, quando um telefone responde a uma descoberta SDP com um erro, bta_hf_client_sdp_cback emite BTA_HF_CLIENT_DISC_INT_RES_EVT, fazendo com que tSDP_DISCOVERY_DB seja liberado enquanto um ponteiro obsoleto (client_cb->p_disc_db) ainda existe no pool não alocado — deixando uma referência pendente pronta para ser explorada.

Vetores de Ataque: Pacotes Bluetooth malformados criados para acionar o manipulador HFP durante a negociação SDP.

Impacto: O manipulador vulnerável é executado em um contexto de processo Bluetooth privilegiado sem interação do usuário, permitindo execução silenciosa de código.

⚠️ A falha afeta apenas dispositivos que atuam como clientes headset/ alto-falante Bluetooth (ex.: smartwatches, óculos inteligentes, Android Automotive). Telefones e tablets padrão não expõem o serviço headset HFP por padrão.

Status do Exploit (Atualizado: Abril de 2026)

Medidas de Mitigação Imediatas

# 1. Verifique seu nível de patch
adb shell getprop ro.build.version.security_patch
# → Deve mostrar: 2025-11-01 ou posterior

Para Usuários

1. Atualize Agora — ⚙️ Configurações → Sistema → Atualização do Sistema
2. Ative o Play Protect — Google Play → Play Protect → Verificar
3. Desligue o Bluetooth quando não estiver em uso — especialmente em espaços públicos (crítico para usuários de smartwatch/óculos/carro)
4. Recuse solicitações de pareamento Bluetooth desconhecidas — o invasor precisa de pareamento aceito antes da exploração
5. Não faça sideload de aplicativos de fontes não confiáveis

Para Empresas / OEM

• Aplique o patch de segurança 2025-11-05 via AOSP
• Imponha a distribuição de patches via MDM/EMM; bloqueie dispositivos sem patch de recursos sensíveis
• Monitore tráfego Bluetooth anômalo e falhas inesperadas do kernel
• Aplique mitigações de plataforma: ASLR, stack canaries, CFI quando possível
• Considere GrapheneOS ou compilações endurecidas para implantações de alto risco — hardened_malloc e marcação de memória de hardware mitigam esta classe de falha
• Endureça a validação de entrada nos limites do sistema/Bluetooth

Para Pesquisadores

Teste apenas em dispositivos que você possui ou com permissão explícita para testar. Use laboratórios isolados sem conectividade de produção. Siga a divulgação coordenada. Nunca publique código de exploit armado.

Cadeia de Ataque Técnica

Fluxo de Exploração

sequenceDiagram
    participant Attacker as Invasor
    participant BT as Canal Bluetooth
    participant Device as Dispositivo Android (Modo Headset)
    participant System as Manipulador Bluetooth HFP

    Attacker->>Device: Solicitar Pareamento Bluetooth
    Device-->>Attacker: Vítima aceita pareamento
    Attacker->>BT: Enviar Pacote HFP SDP Malformado
    BT->>Device: Entregar Pacote (Zero interação adicional)
    Device->>System: bta_hf_client_sdp_cback(erro)
    Note over System: p_disc_db liberado, ponteiro pendente permanece
    Note over System: ⚠️ Use-After-Free acionado
    System-->>Device: Memória corrompida / ponteiro pendente
    Device->>System: Executar código controlado pelo invasor
    System->>Attacker: Shell Remoto / Exfiltração de Dados
    Note over Device,System: RCE Completo Alcançado

Fluxo de Aplicação de Patch

graph TD
    A[Google Lança Patch\n1/5 Nov 2025] --> B{Integração OEM}
    B --> C[Samsung, OnePlus, etc.]
    B --> D[Google Pixel]
    B --> E[LineageOS ✅ Patchado]
    B --> F[GrapheneOS ✅ Patchado\n+ mitigação hardened_malloc]
    C --> G[Atualização Mensal de Segurança]
    D --> H[Push OTA Pixel]
    G & H & E & F --> I[Usuário Instala Atualização]
    I --> J[Nível de Patch: 2025-11-01+]
    J --> K[✅ CVE-2025-48593 Mitigado]
    style A fill:#1976d2,color:#fff
    style K fill:#1b5e20,color:#fff
    style I fill:#ff9800,color:#fff

Defesa em Profundidade

graph LR
    subgraph "Prevenção"
        P1[Aplicar Patch de Nov 2025]
        P2[Desligar Bluetooth Não Utilizado]
        P3[Google Play Protect]
        P4[Recusar Pareamentos BT Desconhecidos]
        P5[Usar GrapheneOS / Compilação Endurecida]
    end
    subgraph "Detecção"
        D1[Monitorar Tráfego BT Anômalo]
        D2[Observar Quedas do Serviço Bluetooth]
        D3[Forense de Endpoint]
    end
    subgraph "Resposta"
        R1[Isolar Dispositivo]
        R2[Forçar Atualização OTA]
        R3[Reportar ao Google/OEM]
    end
    P1 & P2 & P3 & P4 & P5 --> D1 & D2 & D3 --> R1 & R2 & R3
    style P1 fill:#1b5e20,color:#fff
    style R1 fill:#b71c1c,color:#fff

CVEs Relacionados

Os CVE-2025-48633 e CVE-2025-48572 foram adicionados ao catálogo CISA Known Exploited Vulnerabilities (KEV) em 2 de dezembro de 2025. Agências federais dos EUA foram obrigadas a aplicar o patch até 23 de dezembro de 2025.

Histórico de Alterações

Referências

• 🔗 Boletim de Segurança Android – Novembro de 2025
• 🔍 Entrada NVD – CVE-2025-48593
• 🛠️ Patch AOSP – Pesquisar CVE-2025-48593 no Android Git
• 📋 Catálogo CISA KEV
• 🔗 Análise da SOC Prime
• 🔗 Base de Dados de Vulnerabilidades da Wiz
• 🔗 Análise Técnica da SentinelOne
• 🔬 Pesquisa PoC Independente – worthdoingbadly.com (Confirma que telefones/tablets não são afetados)
• 💬 Discussão GrapheneOS – Detalhes Técnicos
• 🐙 blueshrimp PoC – GitHub