9日、IT業界によると、米国の非営利セキュリティ機関であるCERT調整センターが、シャオミのワイヤレスイヤホン「レドミ・バズ」の一部モデルで情報流出とサービス拒否（DoS）の脆弱性が確認されたと公知した。対象はレドミ・バズ3プロ・4プロ・5プロ・6プロだ。
CERTは、攻撃者がBluetooth通信の範囲内にいるだけで、別途のペアリングや認証なしに悪性のRFCOMMトラフィックを送信できると説明した。問題となった脆弱性はCVE-2025-13834とCVE-2025-13328である。CERTによれば、前者は異常なTESTコマンドの処理過程で初期化されていないメモリバッファが返される欠陥で、1回のパケットで最大127バイトが露出し得る。研究チームは、この過程で通話相手の電話番号など通話関連のメタデータが流出する可能性があると明らかにした。
後者のCVE-2025-13328は、TESTコマンドのフラッディングで機器の処理キューを過負荷にし、ファームウェアのクラッシュを誘発する類型だ。実際に悪用された場合、接続中の機器が強制切断され、イヤーバッドを充電ケースに入れてリセットしてようやく復旧できるとCERTは付け加えた。該当の脆弱性はイ・ヒジョ・コリョ大学教授の研究チームが通報したものと明示された。
韓国でも注意喚起が出た。韓国インターネット振興院（KISA）は2月5日の公知で同一の脆弱性を案内し、当時の基準でセキュリティパッチが提供されていないため、公共の場所ではイヤホンを使用しないときBluetoothを無効化するよう勧告した。
シャオミ側は海外メディアに「一部チップサプライヤーのGoogleファストペアの非標準構成に関連するイシューだ」とし、サプライヤーとともにOTAアップデートを進行中だと明らかにした。
韓国の公式サイトにはレドミ・バズ5プロ・6プロの製品ページも運営されており、利用者はメーカーアプリ内のファームウェアバージョンとアップデート公知を随時確認する必要がある。