Die Schwachstelle CVE-2025-20701 wurde von Forschern von ERNW entdeckt und im vergangenen Jahr auf der Sicherheitskonferenz TROOPER vorgestellt. Es handelt sich um ein Problem fehlender Authentifizierung, das eine breite Palette von Ohrhörer- und Kopfhörerprodukten mehrerer Hersteller betrifft, weil sie alle auf dasselbe Airoha-SDK setzen.
Airoha veröffentlichte am 4. August 2025 SDK-Aktualisierungen, um das Problem zu beheben; die Kopfhörerhersteller übernahmen die Korrekturen anschließend in ihre eigene Firmware. Apple schloss die Lücke für die Beats Studio Buds mit einem Firmware-Update, das im Juni erschien.
Dass auch die Skullcandy Dime 3 mit Firmware 1.0.0.28 betroffen ist, stellte CERT/CC nach einem Hinweis des Forschers Jacob Nowak fest. Die Dime 3 sind vor allem bei jungen Käufern beliebt, die günstige Ohrhörer mit basslastiger Klangabstimmung und langer Akkulaufzeit suchen — entsprechend groß dürfte die Zahl der im Umlauf befindlichen Geräte sein.
Besonders unangenehm ist die Unauffälligkeit des Angriffs: Nach einer unbefugten Kopplung hören Betroffene möglicherweise die Ansage über ein neu gekoppeltes Gerät. Dieser Hinweis lässt sich jedoch leicht überhören oder als kurzzeitiger Verbindungsabbruch mit anschließender Neuverbindung abtun. Ab diesem Punkt kann das fremde Gerät bei jeder Annäherung erneut automatisch eine Verbindung aufbauen.
Skullcandy hat einen Fix für CVE-2025-20701 in der Firmware-Version 1.0.0.30 ausgeliefert. CERT/CC weist allerdings darauf hin, dass Kunden, die ihre Ohrhörer mit einer älteren Firmware erworben haben, keinen Weg zu einer sicheren Version haben. „Bestehende Geräte mit der anfälligen Firmware können von Kunden derzeit nicht über die App aktualisiert werden", heißt es in der Warnung. Und weiter: „Zum Zeitpunkt der Abfassung sind keine für Verbraucher zugänglichen Methoden bekannt, ein vorhandenes Gerät von der betroffenen Firmware-Version 1.0.0.28 auf Version 1.0.0.30 zu aktualisieren."
BleepingComputer konnte Skullcandy zu dieser fehlenden Update-Möglichkeit nicht erreichen: Der Chatbot des Unternehmens nimmt keine Presseanfragen an.