WPair

CVE-2025-36911（即 WhisperPair）漏洞扫描器与研究工具

功能特性 • 安装 • 使用方法 • 工作原理 • 漏洞详情 • 致谢

免责声明

本应用是由 @ZalexDev 以个人身份独立实现的。最初的鲁汶大学（KU Leuven）研究人员发现并披露了该漏洞，但未发布任何代码，且与本项目无关联。在致谢中列出他们，仅是为了认可其研究贡献。

概述

WPair 是一款防御性安全研究工具，用于演示 Google Fast Pair 协议中的 CVE-2025-36911 漏洞。该漏洞影响全球数百万蓝牙音频设备，可导致未经授权的配对以及在用户不知情的情况下访问麦克风。

目的： 帮助安全研究人员、设备制造商和最终用户识别需要固件更新的易受攻击设备。

功能特性

截图

关于 Find Hub 网络（FMDN）追踪的说明

本工具刻意不包含 FMDN 配置功能。虽然从技术上讲，该漏洞链允许将受攻击设备注册到 Google 的 Find Hub 网络以实现持续位置追踪，但我选择不实现这一能力。将某人的耳机变成隐蔽的追踪信标，这明显越过了安全研究与跟踪软件之间的道德界线。Account Key 写入和音频访问演示已足以证明该漏洞的严重性。

安装

环境要求

• Android 8.0（API 26）或更高版本
• 支持蓝牙低功耗（Bluetooth LE）
• 位置权限（Android 上 BLE 扫描所需）/ 附近的设备（A13+）

下载

1. 前往 Releases 页面
2. 下载最新的 WPair-vX.X.X.apk
3. 如提示，启用“允许安装未知来源应用”
4. 安装并授予所需权限

从源码构建

git clone https://github.com/zalexdev/whisper-pair-app.git
cd whisper-pair-app
./gradlew assembleDebug

使用方法

1. 扫描设备

点击 Scan（扫描） 以发现附近的 Fast Pair 设备。处于配对模式的设备将显示“Pairing（配对中）”徽标。

2. 漏洞检测

对于未处于配对模式的设备，点击 Test（检测） 以检查其是否存在漏洞。此操作无侵入性，不会与设备配对。

3. 漏洞利用（仅限授权测试）

对于易受攻击的设备，点击 Magic（魔法） 以演示完整漏洞利用链：

• 绕过基于密钥的配对（Key-Based Pairing）
• 提取 BR/EDR 地址
• 经典蓝牙配对绑定
• Account Key 持久化

4. 音频访问

配对成功后：

1. 点击 Connect Audio (HFP)（连接音频 HFP） 以建立免提协议（Hands-Free Profile）连接
2. 使用 Live（实时） 通过手机扬声器进行实时监听
3. 使用 Record（录音） 将音频保存为 M4A 文件

工作原理

sequenceDiagram
    participant App as WPair
    participant Target as Vulnerable Device
    participant BT as Android Bluetooth

    App->>Target: BLE Scan (0xFE2C service)
    Target-->>App: Fast Pair Advertisement

    Note over App: Vulnerability Test
    App->>Target: GATT Connect
    App->>Target: Read Model ID
    App->>Target: Write Key-Based Pairing (no signature)
    Target-->>App: Response (Vulnerable if accepted)

    Note over App: Exploitation
    App->>Target: Key-Based Pairing Request
    Target-->>App: Encrypted Response + BR/EDR Address
    App->>BT: createBond(BR/EDR Address)
    BT->>Target: Bluetooth Classic Pairing
    Target-->>BT: Pairing Complete

    Note over App: Audio Access
    App->>BT: Connect HFP Profile
    BT->>Target: HFP Connection
    App->>BT: Start SCO Audio
    Target-->>App: Microphone Stream

攻击流程

flowchart LR
    A[Scan] --> B{Fast Pair<br>Device?}
    B -->|Yes| C[Test Vulnerability]
    B -->|No| A
    C --> D{Vulnerable?}
    D -->|Yes| E[Exploit]
    D -->|No| F[Patched ✓]
    E --> G[Pair Device]
    G --> H[Connect HFP]
    H --> I[Access Microphone]

漏洞详情

CVE-2025-36911：Fast Pair 基于密钥配对（Key-Based Pairing）身份验证绕过（又称 WhisperPair）

严重性： 高 CVSS 评分： 8.1 影响范围： Google Fast Pair 协议实现

技术细节

Fast Pair 协议使用基于密钥的配对来验证配对请求。漏洞存在的原因如下：

1. 缺少签名验证： 许多设备在接受基于密钥的配对请求时未验证加密签名
2. 无用户确认： 该协议不要求在配对时获得用户的明确同意
3. 持久化访问： 攻击者可写入 Account Key 以对设备进行永久追踪

影响

• 未经授权的配对： 攻击者可在未获得同意的情况下与受害者的耳机配对
• 麦克风访问： 通过 HFP 配置文件完全访问设备麦克风
• 位置追踪： 通过 Account Key 广播进行持续追踪

受影响设备

受影响的主要制造商包括：

• JBL
• Harman Kardon
• 索尼（部分型号）
• Marshall
• 以及其他众多品牌……

项目结构

WhisperPair/
├── app/src/main/java/com/zalexdev/whisperpair/
│   ├── MainActivity.kt          # UI and navigation
│   ├── Scanner.kt                # BLE Fast Pair scanner
│   ├── FastPairDevice.kt         # Device data model
│   ├── VulnerabilityTester.kt    # Non-invasive vuln check
│   ├── FastPairExploit.kt        # PoC exploit implementation
│   └── BluetoothAudioManager.kt  # HFP audio handling
├── app/src/main/res/
│   └── ...                       # UI resources
└── README.md

致谢

应用开发者

@ZalexDev

原始研究团队

比利时鲁汶大学（KU Leuven）

* 主要作者

原始研究资助： 佛兰德政府网络安全研究计划（VOEWICS02）

相关资源

• WhisperPair 研究论文
• 演示视频
• COSIC 研究组

媒体报道

• WIRED
• 9to5Google

法律声明

本工具仅供授权的安全研究和教育目的使用。

• 仅可测试您拥有或已获得明确书面许可的设备
• 在大多数司法管辖区内，未经授权访问计算机系统属于违法行为
• 开发者不对本工具的滥用行为负责
• 本工具旨在帮助识别易受攻击的设备以进行修复

使用本软件即表示您同意负责任地使用它，并遵守所有适用法律。

另请参阅

支持开发

如果您认为 WhisperPair 对您的安全研究有所帮助：

加密货币捐赠：

TRC20 (USDT): TXVt15poW3yTBb7zSdaBRuyFsGCpFyg8CU

许可证

本项目采用 Apache License 2.0 许可——详情请参阅 LICENSE 文件。

_{为安全研究社区倾心打造 ❤️}