Il 29 luglio 2026 TrendAI ha reso pubblico l'advisory ZDI-26-475, che documenta una vulnerabilità di esecuzione remota di codice nel sistema infotainment Sony XAV-9500ES. Il difetto, scoperto nel contesto del programma Pwn2Own, sfrutta il parser AVRCP_Br_Response_Parser attraverso un heap-based buffer overflow attivabile dopo il pairing di un dispositivo Bluetooth malevolo. Sony aveva già distribuito il firmware 3.04.00 il 16 luglio 2026, ma la procedura di aggiornamento richiede condizioni operative che molti utenti aftermarket potrebbero non avere prontamente disponibili.
- L'advisory ZDI-26-475 conferma RCE su Sony XAV-9500ES tramite heap-based buffer overflow nel componente AVRCP_Br_Response_Parser, con attacco network-adjacent dopo pairing Bluetooth malevolo.
- La segnalazione coordinata è iniziata il 19 marzo 2026; la disclosure pubblica è avvenuta il 29 luglio 2026.
- Sony ha rilasciato il firmware 3.04.00 il 16 luglio 2026, che corregge vulnerabilità nella funzione di comunicazione Bluetooth.
- Il dossier non specifica un CVE-ID assegnato né un punteggio CVSS, e non documenta se esista un exploit pubblico al di fuori del contesto competitivo Pwn2Own.
Il meccanismo: cosa fa saltare il parser AVRCP
Il difetto risiede nella gestione dei pacchetti AVRCP (Audio/Video Remote Control Profile), il profilo Bluetooth che consente il controllo remoto della riproduzione multimediale. Nel firmware Sony XAV-9500ES, il componente AVRCP_Br_Response_Parser non valida la lunghezza dei dati forniti dall'utente prima di copiarli in un buffer allocato sull'heap.
"The specific flaw exists within the handling of AVRCP packets. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a heap-based buffer." — TrendAI Zero Day Initiative (ZDI-26-475)
Questa mancata validazione permette la sovrascrittura controllata della memoria heap e, conseguentemente, l'esecuzione di codice arbitrario nel contesto del dispositivo infotainment. L'advisory ZDI precisa che l'attaccante deve prima ottenere la capacità di appaiare un dispositivo Bluetooth malevolo con il sistema target. Questo requisito di pairing preliminare definisce il perimetro di attacco: non si tratta di un exploit remotamente sfruttabile via Internet, ma di un vettore network-adjacent che tipicamente si traduce nel raggio d'azione di una connessione Bluetooth.
La catena di attacco: dal parcheggio alla compromissione
La superficie di attacco è concreta per la tipologia di prodotto. L'XAV-9500ES è un'head unit aftermarket che sostituisce l'impianto stereo originale del veicolo, popolare tra gli appassionati di car audio che cercano integrazione con smartphone e servizi di streaming. Il Bluetooth rimane spesso attivo dopo lo spegnimento del motore per consentire la riconnessione automatica al successivo avviamento.
Un attaccante in prossimità fisica del veicolo — nel raggio operativo del profilo Bluetooth, che il dossier non quantifica specificamente ma che nello standard classico si attesta su circa dieci metri — potrebbe avere finestra di azione in aree di parcheggio pubblico, garage condominiali o stazioni di servizio. Il pairing preliminare rappresenta un filtro, ma non un ostacolo invalicabile: dispositivi precedentemente accoppiati, procedure di pairing ingegnerizzate socialmente o stati di pairing memorizzati nel firmware potrebbero offrire margini di manovra che l'advisory non dettaglia.
Ciò che il dossier ZDI documenta con certezza è la capacità di eseguire codice arbitrario una volta stabilita la condizione di pairing. La lettura tecnica suggerisce che il contesto di esecuzione — il processo del dispositivo infotainment — abbia accesso alle funzionalità di comunicazione del sistema, ma la fonte non specifica la natura esatta dei dati o delle interfacce esposte.
La risposta di Sony: firmware 3.04.00 e le sue procedure
Sony ha rilasciato l'aggiornamento firmware 3.04.00 il 16 luglio 2026, circa due settimane prima della disclosure coordinata ZDI. La pagina ufficiale di supporto elenca tra le correzioni introdotte il fix di "security vulnerabilities in the Bluetooth communication function, Wi-Fi communication function, and USB function". La stessa pagina riconosce i ricercatori di TrendAI ZDI tra i segnalatori delle vulnerabilità corre.
La procedura di installazione documentata da Sony richiede il tethering USB con un dispositivo mobile o l'uso di una chiavetta USB formattata in FAT32, l'accensione del motore del veicolo per garantire alimentazione stabile, e un tempo stimato di 15-30 minuti per il completamento. Questi requisiti operativi — in particolare la necessità di accendere il motore e l'esposizione a rischio di danni all'amplificatore in caso di interruzione — creano frizione reale per l'adozione del patch da parte degli utenti finali. Il dossier non documenta distribuzione over-the-air né meccanismi di aggiornamento automatico.
Perché è importante
Il dossier non specifica se esista un exploit pubblico riproducibile al di fuori del laboratorio Pwn2Own, né documenta attacchi in-the-wild. Questi limiti rendono incerto il rischio immediato per l'utente medio, ma non diminuiscono la rilevanza strutturale della vulnerabilità.
La fonte non identifica versioni firmware specificamente vulnerabili oltre alla generica condizione pre-3.04.00, e non quantifica la popolazione di dispositivi esposti. Il CVE-ID assegnato, se presente, non è riportato nel testo estratto dell'advisory ZDI, e il punteggio CVSS non è documentato. L'identità del ricercatore o del team che ha scoperto il difetto rimane accreditata genericamente attraverso il programma ZDI, senza nominativo pubblico.
Il brief non documenta misure correttive specifiche oltre all'aggiornamento firmware. Non emergono indicazioni su disabilitazione temporanea del Bluetooth, monitoraggio di anomalie di pairing, o verifica dell'integrità del firmware installato. La fonte non specifica inoltre se la vulnerabilità interessi varianti del prodotto o serie correlate dell'offerta Sony.
Il segnale per l'industria automotive
ZDI-26-475 si inserisce in un filone consolidato di ricerca che dimostra la concretezza delle superfici di attacco Bluetooth nei sistemi IVI (In-Vehicle Infotainment) come bersagli di exploit RCE in contesti competitivi. Il programma Pwn2Own, nel suo specifico track automotive, ha progressivamente esteso il campo di indagine dai componenti di bordo ai sottosistemi di connettività periferica come l'AVRCP.
La differenza sostanziale rispetto alle vulnerabilità di componenti veicolari più profondamente integrati — CAN bus, ECU, telematica OEM — sta nella democratizzazione della superficie di attacco. Un'head unit aftermarket è installabile su migliaia di modelli di veicolo, decuplicando la popolazione esposta rispetto a un difetto vincolato a una specifica piattaforma OEM. Il firmware correttivo, inoltre, dipende dall'iniziativa dell'utente finale in assenza di meccanismi di gestione centralizzata tipici dei fleet management aziendali o dei sistemi connettivi dei costruttori.
Per il settore dei componenti infotainment, l'advisory rappresenta un caso di studio sulla tensione tra apertura del pairing Bluetooth — funzionalità di vendita centrale per prodotti aftermarket — e validazione dei parser di protocollo che gestiscono dati non trusted. Il parser AVRCP_Br_Response_Parser non è un componente proprietario esotico, ma un'implementazione di profilo standard Bluetooth: la sua compromissione suggerisce difetti di ingegneria del software che potrebbero ripetersi in altri contesti di adozione dello stesso stack.
Le informazioni sono basate sull advisory citata e aggiornate al momento della pubblicazione.
Fonti
- http://www.zerodayinitiative.com/advisories/ZDI-26-475/
- http://www.zerodayinitiative.com/advisories/published/
- https://www.sony.com/electronics/support/mobile-cd-players-digital-media-players-xav-series/xav-9500es/software/00274922
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.