Sebuah celah keamanan serius kembali ditemukan di ekosistem Bluetooth, dan kali ini dampaknya tidak main-main. Jutaan perangkat audio Bluetooth di seluruh dunia diketahui terdampak oleh kerentanan bernama CVE-2025-36911, yang menyerang protokol Fast Pair milik Google. Celah ini dikenal dengan sebutan WhisperPair, dan untuk membuktikan serta mengujinya, para peneliti menghadirkan sebuah tool bernama WPair.
Baca Juga : 11 Headset Untuk Olahraga Lari Terbaik 2025 (Kupas Tuntas)
WPair sendiri merupakan aplikasi Android yang dirancang khusus untuk mengidentifikasi sekaligus mendemonstrasikan kerentanan WhisperPair. Tool ini membantu peneliti keamanan memahami bagaimana celah tersebut bekerja, sekaligus menguji apakah sebuah perangkat sudah mendapatkan patch atau masih rentan terhadap serangan.
Apa Itu WhisperPair dan Kenapa Berbahaya?
WhisperPair adalah sebuah kelemahan pada mekanisme autentikasi Fast Pair, protokol yang digunakan Google untuk mempermudah proses pairing perangkat Bluetooth, khususnya audio seperti TWS, headphone, dan speaker. Celah ini pertama kali ditemukan oleh peneliti dari KU Leuven, yang mengungkap adanya kegagalan sistemik dalam implementasi Fast Pair di berbagai merek dan chipset.
Masalah utamanya terletak pada verifikasi pairing mode yang tidak diterapkan dengan benar. Berdasarkan riset WhisperPair, banyak perangkat audio tidak mengabaikan permintaan pairing dari sumber yang tidak sah, meskipun perangkat tersebut tidak sedang berada dalam mode pairing.
Akibatnya, penyerang bisa memaksa koneksi Bluetooth hanya dalam hitungan detik, bahkan dari jarak hingga 14 meter. Yang lebih mengkhawatirkan, serangan ini tidak memerlukan interaksi pengguna sama sekali dan tidak butuh akses fisik ke perangkat target. Inilah yang membuat WhisperPair sangat berbahaya, terutama untuk perangkat audio konsumen yang digunakan sehari-hari.
Mengenal Fungsi dan Mode Utama WPair
Sebagai tool riset keamanan, WPair dibekali beberapa fitur inti untuk mendeteksi dan menguji kerentanan CVE-2025-36911. Aplikasi ini menyediakan tiga mode utama yang masing-masing memiliki fungsi berbeda.
Mode pertama adalah BLE Scanner, yang bertugas mendeteksi perangkat Fast Pair di sekitar pengguna. Scanner ini bekerja dengan mengidentifikasi perangkat yang menyiarkan service UUID 0xFE2C, ciri khas perangkat Fast Pair.
Selanjutnya ada Vulnerability Tester, yaitu mode pengujian non-invasif. Mode ini dirancang untuk memeriksa status patch sebuah perangkat tanpa harus benar-benar membangun koneksi Bluetooth, sehingga relatif aman digunakan untuk pengecekan awal.
Mode ketiga adalah Exploit Demo, yang hanya diperuntukkan bagi riset keamanan berizin. Fitur ini mendemonstrasikan seluruh rantai serangan WhisperPair, mulai dari bypass autentikasi berbasis kunci, ekstraksi alamat BR/EDR, hingga proses bonding Bluetooth Classic.
Fitur Lengkap WPair dalam Pengujian WhisperPair
Berikut adalah gambaran fitur utama yang tersedia di WPair dan fungsinya:
| Fitur | Deskripsi |
|---|---|
| BLE Scanner | Mendeteksi perangkat Fast Pair secara real-time |
| Vulnerability Tester | Mengecek status patch CVE-2025-36911 dengan aman |
| Exploit Demo | Proof-of-concept untuk pengujian berizin |
| HFP Audio Access | Menunjukkan akses mikrofon setelah eksploit |
| Live Listening | Streaming audio langsung ke ponsel |
| Audio Recording | Menyimpan rekaman audio untuk analisis |
| Device Status Detection | Mendeteksi status pairing perangkat |
| Key-Based Bypass | Demonstrasi bypass autentikasi Fast Pair |
| BR/EDR Extraction | Mengambil alamat Bluetooth Classic |
| Classic Bonding | Membuat koneksi audio yang persisten |
| Account Key Persistence | Menunjukkan potensi pelacakan jangka panjang |
Setelah eksploitasi berhasil, WPair mampu mengakses Hands-Free Profile (HFP), yang memungkinkan penyerang menggunakan mikrofon perangkat target. Audio bisa langsung dipantau secara real-time melalui speaker ponsel atau disimpan dalam format M4A untuk kebutuhan analisis forensik.
Dampak Nyata bagi Pengguna
Celah WhisperPair memungkinkan penyerang mengambil alih perangkat audio tanpa izin. Dampaknya cukup serius, mulai dari mengontrol pemutaran audio, merekam percakapan di sekitar perangkat, hingga melakukan pelacakan jangka panjang.
Dalam skenario tertentu, jika sebuah perangkat belum pernah terhubung ke perangkat Android mana pun, penyerang bahkan bisa menambahkan perangkat tersebut ke akun mereka sendiri. Hal ini memanfaatkan mekanisme Fast Pair yang menetapkan penulis Account Key pertama sebagai pemilik perangkat, sehingga membuka potensi penyalahgunaan fitur pelacakan melalui Google Find Hub Network.
Perangkat yang Terdampak dan Skala Masalah
Kerentanan ini tidak terbatas pada satu merek saja. Beberapa produsen besar yang terdampak antara lain JBL, Harman Kardon, Sony, Marshall, dan banyak merek lainnya. Secara global, diperkirakan ratusan juta pengguna berpotensi terdampak oleh celah WhisperPair ini.
Kebutuhan Teknis dan Opsi Instalasi WPair
Untuk menjalankan WPair, perangkat harus memenuhi beberapa syarat teknis berikut:
| Kategori | Detail |
|---|---|
| Versi Android Minimum | Android 8.0 (API 26) atau lebih baru |
| Dukungan Bluetooth | Bluetooth Low Energy (BLE) |
| Izin Aplikasi | Lokasi atau Nearby Devices (Android 13+) |
| Instalasi APK | Unduh APK siap pakai dari halaman rilis |
| Instalasi Source | Build mandiri menggunakan Gradle |
Google mengklasifikasikan WhisperPair sebagai kerentanan kritis dan memberikan bounty maksimal sebesar $15.000 kepada para peneliti. Masa disclosure window selama 150 hari berakhir pada Januari 2026, dan saat ini para produsen mulai merilis patch firmware untuk perangkat terdampak.
Perlu dicatat, WPair secara tegas tidak menyertakan fungsi provisioning Find Hub Network untuk menjaga batas etika dan mencegah penyalahgunaan sebagai stalkerware.
Baca Juga : Celah Keamanan Baru di Headphone Bluetooth, Hacker Bisa Ambil Alih Smartphone Terhubung
Kesimpulan
WPair menjadi langkah maju yang penting dalam dunia keamanan IoT, khususnya untuk ekosistem perangkat audio Bluetooth. Tool ini membantu produsen dan tim keamanan mengidentifikasi perangkat yang masih rentan dan membutuhkan pembaruan firmware secepat mungkin.
Sesuai advisori resmi, pengujian hanya boleh dilakukan oleh peneliti yang memiliki izin tertulis untuk perangkat yang diuji. Dengan pendekatan yang etis dan bertanggung jawab, WPair dapat menjadi alat krusial dalam memperkuat keamanan perangkat audio di masa depan.
