Cacat Bluetooth Skullcandy Dime 3 Tak Bisa Ditambal di Unit Lama

Telset.id – Pemilik Skullcandy Dime 3 menghadapi risiko keamanan yang tidak bisa diperbaiki. Earbuds TWS ini menerima permintaan pairing Bluetooth dari perangkat asing tanpa interaksi pengguna, dan kerentanan tersebut tidak dapat ditambal pada unit yang sudah beredar di pasaran.

Peringatan ini datang dari CERT Coordination Center di Carnegie Mellon University. Dalam advisory resminya, lembaga tersebut mengonfirmasi bahwa Skullcandy Dime 3 akan menerima permintaan pairing Bluetooth dari perangkat orang lain tanpa pemiliknya melakukan apa pun. Koneksi yang terbentuk bersifat permanen, dan satu-satunya tanda yang diterima pengguna adalah notifikasi suara “new device paired” yang baru muncul setelah proses pairing selesai.

Advisory untuk Dime 3 ditulis oleh Bob Kemerer dari CERT/CC dan mencantumkan nama peneliti independen Jacob Nowak. Nowak mempublikasikan temuannya ke milis Full Disclosure pada awal Agustus setelah mengujinya pada perangkat yang ia miliki sendiri.

Patch Hanya Menjangkau Unit Baru

Ironisnya, Skullcandy bergerak cepat menangani masalah ini. Perusahaan merilis firmware versi 1.0.0.30 untuk menambal kerentanan yang menimpa earbuds dengan firmware 1.0.0.28. Namun, patch tersebut hanya diterapkan pada unit yang baru diproduksi.

CERT mencatat tidak ada metode yang dapat diakses konsumen untuk memperbarui unit lama ke firmware terbaru. Penyebabnya, Dime 3 dilaporkan tidak memiliki dukungan melalui aplikasi pendamping, sebagaimana ditunjukkan dalam ulasan Tom’s Guide. Produk tanpa jalur pembaruan yang dapat diakses pengguna pada dasarnya berarti cacat perangkat lunaknya, termasuk masalah keamanan, akan bertahan selamanya bagi konsumen yang sudah membeli unit lebih awal.

Kerentanan Berasal dari Chipset Airoha

Kerentanan yang mendasari masalah ini, CVE-2025-20701, bukanlah temuan baru dan bukan berasal dari Skullcandy. Ini merupakan salah satu dari tiga kerentanan yang diungkap Dennis Heinze dan Frieder Steinmetz dari firma Jerman ERNW pada Juni 2025 di konferensi TROOPERS di Heidelberg. Ketiga kerentanan tersebut menimpa sistem Bluetooth system-on-chip dari Airoha, perusahaan asal Taiwan.

Identifier Bluetooth Dime 3 mencantumkan Airoha sebagai vendor chipset-nya. Airoha sendiri telah mengirimkan SDK yang diperbaiki kepada pelanggannya pada Juni 2025 dan menerbitkan buletinnya pada Agustus 2025. Meski demikian, pemilik earbuds berada dalam situasi yang tidak menguntungkan karena patch tersebut tidak sampai ke perangkat yang sudah dijual.

Tingkat keparahan kerentanan ini masih diperdebatkan. MediaTek, yang memiliki Airoha, memberikan penilaian yang relatif rendah, yaitu 6.7. Sementara itu, program pengayaan kerentanan CISA kemudian memberikan nilai 8.8 dengan kategori “high”. Perbedaan penilaian ini menunjukkan belum adanya konsensus mengenai seberapa besar ancaman yang ditimbulkan.

Dampak dari serangan yang memanfaatkan celah ini terbatas pada apa yang bisa diakses oleh earbuds. Meski begitu, penyerang tetap dapat menimbulkan gangguan signifikan. Kerentanan ini memungkinkan seseorang membajak earbuds milik korban, termasuk menggunakan mikrofonnya untuk merekam percakapan. Dalam skenario teoretis ekstrem yang memerlukan penggabungan dengan eksploit lain, penyerang bahkan bisa menyamar sebagai headset dan menarik kontak, riwayat panggilan, hingga mengirimkan perintah hands-free ke smartphone yang terpasang.

Namun, skenario terakhir tersebut menuntut keahlian teknis yang tinggi, posisi penyerang dalam jarak beberapa meter dari korban, serta koneksi Bluetooth yang aktif pada smartphone yang sudah dipasangkan. Tanpa kombinasi kondisi tersebut, serangan tidak dapat direalisasikan.

Sebagai perbandingan, Apple baru-baru ini memperbaiki celah keamanan serupa pada Beats Studio Buds yang memungkinkan peretas mengintai percakapan. Skullcandy seharusnya mampu melakukan hal yang sama, tetapi ketiadaan dukungan aplikasi pihak ketiga pada earbuds kelas terjangkau ini membuat kerentanan tersebut tidak dapat ditambal bagi pengguna yang sudah memiliki unit lama.

Bagi konsumen yang mempertimbangkan pembelian perangkat audio nirkabel, kasus ini menjadi pengingat bahwa dukungan pembaruan perangkat lunak jangka panjang sama pentingnya dengan kualitas suara. Sejumlah perangkat lain di pasaran juga menghadapi persoalan serupa, mulai dari pembaruan sistem yang bergantung pada kompatibilitas hardware, hingga cara pengguna mengatasi keterbatasan perangkat mereka sendiri, seperti mengubah fungsi tombol agar lebih sesuai kebutuhan.

Untuk saat ini, kerentanan pada Skullcandy Dime 3 tetap ada dan tidak dapat diperbaiki pada unit yang sudah terjual. Pemilik earbuds hanya bisa memantau apakah ada perubahan kebijakan dukungan dari pihak produsen di masa mendatang.