Earbud Skullcandy Dime 3 Rentan Dibajak lewat Bluetooth, Firmware Lama Tak Bisa Diperbarui
Pengguna Skullcandy Dime 3 perlu mewaspadai kerentanan keamanan yang dapat memungkinkan perangkat mereka dibajak melalui Bluetooth tanpa memerlukan persetujuan pengguna.
Peringatan tersebut disampaikan oleh CERT Coordination Center (CERT/CC) di Carnegie Mellon University. Kerentanan dengan tingkat keparahan tinggi ini memungkinkan perangkat yang berada di sekitar earbud melakukan proses pairing secara tidak sah.
Masalah tersebut dilacak sebagai CVE-2025-20701 dan berasal dari Airoha Bluetooth Audio SDK, software yang digunakan Skullcandy Dime 3 untuk menangani koneksi nirkabel dan komunikasi antara earbud dengan perangkat yang terhubung.
Yang membuat masalah ini semakin serius, pengguna yang membeli Dime 3 dengan firmware rentan saat ini tidak memiliki cara yang dapat diakses konsumen untuk memperbarui firmware melalui aplikasi Skullcandy.
Firmware 1.0.0.28 masih rentan
CERT/CC menemukan bahwa Skullcandy Dime 3 model S2DCW yang menjalankan firmware 1.0.0.28 terdampak CVE-2025-20701.
Kerentanan tersebut merupakan masalah missing authentication, sehingga perangkat Bluetooth di sekitar earbud dapat mengirim permintaan pairing tanpa harus melalui proses persetujuan normal.
Penyerang tidak membutuhkan:
- PIN pairing Bluetooth
- Akses fisik ke casing earbud
- Persetujuan pairing dari pengguna
Dengan kata lain, seseorang yang berada dalam jangkauan Bluetooth dapat mencoba menghubungkan perangkatnya ke earbud yang masih menggunakan firmware rentan.
Penyerang dapat mengambil alih koneksi audio
Setelah berhasil melakukan pairing, perangkat penyerang akan dianggap sebagai perangkat yang dipercaya oleh earbud.
Hal ini membuka sejumlah kemungkinan penyalahgunaan.
Penyerang dapat mengganggu koneksi perangkat pemilik, mengambil alih pemutaran audio, mengakses headset profile, serta menangkap audio langsung dari mikrofon earbud.
Risiko terakhir menjadi perhatian khusus karena dapat memungkinkan penyerang mendengarkan percakapan atau suara di sekitar pengguna apabila kondisi serangan terpenuhi.
Korban mungkin sebenarnya mendapatkan pemberitahuan seperti “new device paired” setelah proses pairing ilegal terjadi. Namun, notifikasi tersebut mudah terlewatkan karena pengguna dapat menganggapnya sebagai gangguan koneksi Bluetooth biasa yang kemudian tersambung kembali.
Masalah berasal dari Airoha Bluetooth SDK
CVE-2025-20701 bukan kerentanan yang hanya ditemukan pada produk Skullcandy.
Celah tersebut ditemukan oleh peneliti ERNW dan dipresentasikan pada konferensi keamanan siber TROOPER tahun lalu.
Kerentanan yang sama diketahui berdampak pada berbagai produk earbud dan headphone dari sejumlah vendor yang menggunakan teknologi terkait dari Airoha.
Airoha telah menerbitkan pembaruan SDK untuk mengatasi masalah tersebut pada 4 Agustus 2025. Produsen perangkat audio kemudian mulai mengadopsi perbaikan tersebut ke firmware produk masing-masing.
Apple, misalnya, telah memperbaiki kerentanan serupa pada Beats Studio Buds melalui pembaruan firmware yang dirilis pada Juni tahun ini.
Skullcandy sebenarnya sudah memiliki firmware yang diperbaiki
Skullcandy telah menyediakan perbaikan untuk CVE-2025-20701 melalui firmware versi 1.0.0.30.
Masalahnya, menurut CERT/CC, pengguna yang sudah memiliki unit dengan firmware lama belum memiliki metode yang dapat mereka gunakan sendiri untuk melakukan upgrade ke versi yang aman.
CERT/CC menjelaskan bahwa unit yang saat ini menjalankan firmware 1.0.0.28 tidak dapat diperbarui oleh pelanggan melalui aplikasi Skullcandy.
Hingga saat ini juga belum diketahui metode yang dapat diakses konsumen untuk mengubah firmware dari versi 1.0.0.28 menjadi 1.0.0.30.
Situasi tersebut cukup tidak biasa karena patch sebenarnya sudah tersedia dari sisi produsen, tetapi pengguna perangkat yang telah beredar tidak memiliki mekanisme praktis untuk menerapkannya.
Apa yang sebaiknya dilakukan pemilik Dime 3?
Pemilik Skullcandy Dime 3 sebaiknya terlebih dahulu memeriksa versi firmware perangkat mereka.
Jika perangkat menggunakan firmware 1.0.0.28, pengguna perlu menyadari bahwa perangkat masih memiliki risiko terkait CVE-2025-20701.
Karena belum tersedia metode upgrade yang dapat diakses konsumen untuk unit terdampak, pengguna sebaiknya berhati-hati ketika menggunakan earbud di lokasi yang memungkinkan orang lain berada sangat dekat dengan perangkat.
CERT/CC juga menyarankan agar produsen memberikan mekanisme pembaruan firmware yang dapat digunakan oleh konsumen untuk memperbaiki perangkat yang sudah terlanjur beredar.
Kasus ini menunjukkan pentingnya firmware update pada perangkat IoT dan aksesori Bluetooth. Earbud memang terlihat seperti perangkat sederhana, tetapi di dalamnya terdapat software yang menangani koneksi nirkabel dan dapat memiliki celah keamanan serius.
Untuk saat ini, Skullcandy belum memberikan keterangan lebih lanjut mengenai masalah ketidakmampuan pengguna melakukan upgrade firmware. Upaya untuk mendapatkan komentar dari perusahaan juga belum berhasil.
Sumber: CERT Coordination Center (CERT/CC)
