CVE-2025-48593

«Один вредоносный пакет может захватить ваше устройство». — Android Security Team, ноябрь 2025

Удаленное выполнение кода без взаимодействия с пользователем в Android (подсистема Bluetooth)

⚠️ Важное уточнение области уязвимости (обновлено апрель 2026)

Стандартные телефоны и планшеты НЕ уязвимы. CVE-2025-48593 затрагивает только устройства Android, которые поддерживают работу в качестве Bluetooth-гарнитур/динамиков, такие как умные часы, умные очки и автомобили. Кроме того, злоумышленник должен заставить жертву принять запрос сопряжения Bluetooth перед эксплуатацией сервиса гарнитуры. Простое отклонение запроса сопряжения обеспечивает защиту. Источник: независимый исследователь PoC (worthdoingbadly.com, декабрь 2025)

Краткая информация об уязвимости

⚠️ Примечание: Первоначальная оценочная оценка CVSS 9.8 была пересмотрена. NVD официально подтвердил оценку 7.8 (HIGH). Уязвимость имеет локальный вектор атаки, а не полностью удаленный сетевой.

Уязвимые устройства и версии

Устройства с уровнем патча 2025-11-01 или новее защищены.

✅ Пользователи GrapheneOS дополнительно защищены благодаря hardened_malloc и аппаратной маркировке памяти, что значительно смягчает этот класс уязвимости повреждения памяти даже на незапатченных сборках.

Первопричина и технический анализ

Уязвимость находится в подсистеме Bluetooth, а именно в функции bta_hf_client_cb_init в bta_hf_client_main.cc. Это ошибка use-after-free в реализации клиента профиля Hands-Free Profile (HFP) Bluetooth. Исправление включает два коммита в модуль Bluetooth.

// Упрощенный псевдокод, иллюстрирующий уязвимый путь
void bta_hf_client_cb_init(tBTA_HF_CLIENT_CB *client_cb) {
    free(client_cb->p_disc_db);        // SDP discovery DB освобождается при ошибке
    // ... другая обработка ...
    use(client_cb->p_disc_db);         // ⚠️ use-after-free! CVE-2025-48593
    execute_callback(client_cb);        // путь кода, контролируемый злоумышленником
}

Точный триггер: До патча, когда телефон отвечает на SDP-обнаружение с ошибкой, bta_hf_client_sdp_cback генерирует BTA_HF_CLIENT_DISC_INT_RES_EVT, что приводит к освобождению tSDP_DISCOVERY_DB, в то время как висячий указатель (client_cb->p_disc_db) все еще существует в нераспределенном пуле — оставляя оборванную ссылку, готовую к эксплуатации.

Векторы атаки: Вредоносные пакеты Bluetooth, созданные для запуска обработчика HFP во время согласования SDP.

Влияние: Уязвимый обработчик работает в привилегированном контексте процесса Bluetooth без необходимости взаимодействия с пользователем, что позволяет выполнять код незаметно.

⚠️ Ошибка затрагивает только устройства, работающие как клиенты гарнитуры/динамика Bluetooth (например, умные часы, умные очки, Android Automotive). Стандартные телефоны и планшеты не предоставляют сервис гарнитуры HFP по умолчанию.

Статус эксплойта (обновлено: апрель 2026)

Немедленные шаги по смягчению

# 1. Проверьте свой уровень патча
adb shell getprop ro.build.version.security_patch
# → Должно показывать: 2025-11-01 или новее

Для пользователей

1. Обновитесь сейчас — ⚙️ Настройки → Система → Обновление системы
2. Включите Play Protect — Google Play → Play Protect → Проверка
3. Отключайте Bluetooth, когда не используете — особенно в общественных местах (критически важно для пользователей умных часов/очков/автомобилей)
4. Отклоняйте неизвестные запросы сопряжения Bluetooth — злоумышленнику требуется принятое сопряжение для эксплуатации
5. Не устанавливайте приложения из ненадежных источников

Для предприятий / OEM

• Примените патч безопасности 2025-11-05 через AOSP
• Принудительно распространяйте патчи через MDM/EMM; блокируйте незапатченные устройства от доступа к чувствительным ресурсам
• Отслеживайте аномальный Bluetooth-трафик и неожиданные сбои ядра
• Применяйте платформенные механизмы смягчения: ASLR, защита стека, CFI где возможно
• Рассмотрите GrapheneOS или защищенные сборки для развертываний с высоким риском — hardened_malloc и аппаратная маркировка памяти смягчают этот класс ошибок
• Ужесточите проверку входных данных на границе система/Bluetooth

Для исследователей

Тестируйте только на устройствах, которыми вы владеете или на которые у вас есть явное разрешение. Используйте изолированные лаборатории без подключения к продуктивной сети. Следуйте скоординированному раскрытию информации. Никогда не публикуйте рабочий код эксплойта.

Техническая цепочка атаки

Поток эксплуатации

sequenceDiagram
    participant Attacker as Злоумышленник
    participant BT as Канал Bluetooth
    participant Device as Устройство Android (режим гарнитуры)
    participant System as Обработчик Bluetooth HFP

    Attacker->>Device: Запрос сопряжения Bluetooth
    Device-->>Attacker: Жертва принимает сопряжение
    Attacker->>BT: Отправка вредоносного SDP-пакета HFP
    BT->>Device: Доставка пакета (без дальнейшего взаимодействия)
    Device->>System: bta_hf_client_sdp_cback(ошибка)
    Note over System: p_disc_db освобожден, остается оборванный указатель
    Note over System: ⚠️ Use-After-Free сработал
    System-->>Device: Поврежденная память / оборванный указатель
    Device->>System: Выполнение кода, контролируемого злоумышленником
    System->>Attacker: Удаленный доступ / эксфильтрация данных
    Note over Device,System: Полное RCE достигнуто

Поток применения патча

graph TD
    A[Google выпускает патч\n1/5 ноября 2025] --> B{Интеграция OEM}
    B --> C[Samsung, OnePlus и др.]
    B --> D[Google Pixel]
    B --> E[LineageOS ✅ Запатчено]
    B --> F[GrapheneOS ✅ Запатчено\n+ hardened_malloc смягчение]
    C --> G[Ежемесячное обновление безопасности]
    D --> H[Push OTA для Pixel]
    G & H & E & F --> I[Пользователь устанавливает обновление]
    I --> J[Уровень патча: 2025-11-01+]
    J --> K[✅ CVE-2025-48593 устранена]
    style A fill:#1976d2,color:#fff
    style K fill:#1b5e20,color:#fff
    style I fill:#ff9800,color:#fff

Защита в глубину

graph LR
    subgraph "Предотвращение"
        P1[Применить ноябрьский патч 2025]
        P2[Отключить неиспользуемый Bluetooth]
        P3[Google Play Protect]
        P4[Отклонять неизвестные сопряжения BT]
        P5[Использовать GrapheneOS / защищенную сборку]
    end
    subgraph "Обнаружение"
        D1[Мониторинг аномального BT-трафика]
        D2[Отслеживание сбоев службы Bluetooth]
        D3[Криминалистика конечных точек]
    end
    subgraph "Реагирование"
        R1[Изолировать устройство]
        R2[Принудительное OTA-обновление]
        R3[Сообщить в Google/OEM]
    end
    P1 & P2 & P3 & P4 & P5 --> D1 & D2 & D3 --> R1 & R2 & R3
    style P1 fill:#1b5e20,color:#fff
    style R1 fill:#b71c1c,color:#fff

Связанные CVE

CVE-2025-48633 и CVE-2025-48572 были добавлены в каталог CISA Known Exploited Vulnerabilities (KEV) 2 декабря 2025. Федеральные агентства США обязаны были установить патч до 23 декабря 2025.

Журнал изменений

Ссылки

• 🔗 Android Security Bulletin – November 2025
• 🔍 NVD Entry – CVE-2025-48593
• 🛠️ AOSP Patch – Search CVE-2025-48593 in Android Git
• 📋 CISA KEV Catalog
• 🔗 SOC Prime Analysis
• 🔗 Wiz Vulnerability Database
• 🔗 SentinelOne Technical Analysis
• 🔬 Independent PoC Research – worthdoingbadly.com (Подтверждает, что телефоны/планшеты не затронуты)
• 💬 GrapheneOS Discussion – Technical Details
• 🐙 blueshrimp PoC – GitHub