攻击者可以使用未记录的命令来劫持中国制造的蓝牙芯片
快速阅读: 据《Beta新闻》最新报道，安全研究人员在ESP32蓝牙固件中发现了未记录的命令，这些命令可能被攻击者用于绕过代码审计并执行冒充攻击。ESP32芯片由中国乐鑫科技生产，广泛应用于物联网设备。该问题已被追踪为CVE-2025-27840。这一发现揭示了蓝牙标准中的潜在安全隐患。
攻击者可以利用未记录的命令劫持中国生产的蓝牙芯片 2025年3月10日 报道：索菲娅·伊丽莎白·维茨科斯拉克-威尔逊
安全研究人员分享了在ESP32蓝牙固件中发现的未记录命令的详细信息，这些命令可能被攻击者利用。这种中国产的芯片存在于数以百万计的设备中，这意味着这一发现具有重要意义。
在马德里的RootedCON会议上，来自Tarlogic Security的研究人员米格尔·塔拉斯科·阿库尼亚和安东尼奥·巴兹克斯·布兰科描述了他们发现的“隐藏功能”作为一种后门，但后来承认这可能是一个误导性的描述。他们警告说，利用这些漏洞可以让恶意行为者通过绕过代码审计控制来执行冒充攻击，并永久感染敏感设备，如手机、电脑、智能锁或医疗设备。
另见：微软准备通过向Office用户推出OneDrive广告来制造更多烦恼 你将很快能在安卓手机上运行Linux终端 微软为PowerToys v0.89.0添加了令人难以置信的音频和视频文件转换工具
ESP32芯片非常便宜，因此被广泛应用。该硬件的制造商乐鑫已报告销售超过十亿个单位，其常见用途是在物联网设备中。这些未记录的命令可以在macOS、Windows和Linux系统上执行，为攻击提供了多个起点。
虽然最初被描述为“后门”，但这些未记录的命令后来被描述为具有“隐秘功能”。语言的变化源于这样一个事实：单个命令本身并不构成风险——尽管命令列表尚未公布，出于显而易见的原因。
该问题被追踪为CVE-2025-27840，其描述如下：
这一发现是更广泛的蓝牙标准调查的一部分。作为这项研究的一部分，这家安全公司开发了安全审计工具：
研究人员的完整发现可在此处（西班牙语）阅读
图片来源：Tarlogic Security
分享 转发 钉 转发 邮件 转发 短信
(以上内容均由Ai生成)
