Ένα σύνολο ευπαθειών ασφαλείας στο πρωτόκολλο AirPlay της Apple και στο λογισμικό ανάπτυξης εφαρμογών (SDK) AirPlay, εξέθεσε σε κινδύνους μη ενημερωμένες συσκευές τρίτων κατασκευαστών καθώς και συσκευές της Apple, επιτρέποντας διάφορες επιθέσεις, συμπεριλαμβανομένων απομακρυσμένης εκτέλεσης κώδικα (RCE).
Δείτε επίσης: Ευπάθεια Zero-Click στο macOS Calendar επιτρέπει κακόβουλες ενέργειες
Σύμφωνα με την εταιρεία κυβερνοασφάλειας Oligo Security, η οποία εντόπισε και ανέφερε τα κενά ασφαλείας, οι ευπάθειες αυτές μπορούν να αξιοποιηθούν σε επιθέσεις τύπου RCE χωρίς καμία αλληλεπίδραση του χρήστη (zero-click) ή με μία μόνο ενέργεια (one-click), σε επιθέσεις man-in-the-middle (MITM), επιθέσεις άρνησης υπηρεσίας (DoS), καθώς και για την παράκαμψη λιστών ελέγχου πρόσβασης (ACL) και την αποφυγή αλληλεπίδρασης με τον χρήστη, με στόχο την απόκτηση ευαίσθητων πληροφοριών ή την ανάγνωση οποιουδήποτε τοπικού αρχείου.
Συνολικά, η Oligo αποκάλυψε 23 ευπάθειες Apple, η οποία κυκλοφόρησε σχετικές ενημερώσεις ασφαλείας στις 31 Μαρτίου για iPhone και iPad (iOS 18.4 και iPadOS 18.4), Mac (macOS Ventura 13.7.5, macOS Sonoma 14.7.5 και macOS Sequoia 15.4), καθώς και για τις συσκευές Apple Vision Pro (visionOS 2.4). Η εταιρεία διόρθωσε επίσης ευπάθειες στο SDK ήχου του AirPlay, στο SDK βίντεο του AirPlay και στο πρόσθετο επικοινωνίας CarPlay.
Αν και οι ευπάθειες της ομάδας AirBorne μπορούν να αξιοποιηθούν μόνο από επιτιθέμενους που βρίσκονται στο ίδιο δίκτυο μέσω ασύρματης σύνδεσης ή σύνδεσης peer-to-peer, επιτρέπουν τον πλήρη έλεγχο των ευάλωτων συσκευών και τη χρήση αυτής της πρόσβασης ως σημείο εκκίνησης για την επίθεση σε άλλες συσκευές με δυνατότητα AirPlay στο ίδιο δίκτυο.
Οι ερευνητές ασφαλείας της Oligo δήλωσαν ότι κατάφεραν να αποδείξουν πως δύο από τις ευπάθειες (CVE-2025-24252 και CVE-2025-24132) μπορούν να χρησιμοποιηθούν για τη δημιουργία αυτοαναπαραγόμενων zero-click επιθέσεων απομακρυσμένης εκτέλεσης κώδικα (RCE).
Δείτε ακόμα: Νεπαλέζος χάκερ αποκάλυψε αδυναμία Zero-Click του Facebook
Επιπλέον, η ευπάθεια παράκαμψης αλληλεπίδρασης χρήστη CVE-2025-24206 επιτρέπει σε έναν επιτιθέμενο να παρακάμψει την απαίτηση για κλικ στην επιλογή “Αποδοχή” κατά τις αιτήσεις AirPlay και μπορεί να συνδυαστεί με άλλες ευπάθειες για την εκτέλεση επιθέσεων τύπου zero-click.
Η εταιρεία κυβερνοασφάλειας συστήνει στις οργανώσεις να ενημερώσουν άμεσα όλες τις εταιρικές συσκευές Apple και τις συσκευές με δυνατότητα AirPlay στην πιο πρόσφατη έκδοση λογισμικού, ενώ προτείνει επίσης να ζητηθεί από τους υπαλλήλους να ενημερώσουν και τις προσωπικές τους συσκευές AirPlay.
Πρόσθετα μέτρα που μπορούν να λάβουν οι χρήστες για να μειώσουν την επιφάνεια επίθεσης περιλαμβάνουν την ενημέρωση όλων των συσκευών Apple στην πιο πρόσφατη έκδοση, την απενεργοποίηση του δέκτη AirPlay όταν δεν χρησιμοποιείται, τον περιορισμό της πρόσβασης AirPlay μόνο σε αξιόπιστες συσκευές μέσω κανόνων firewall και τον περιορισμό της χρήσης του AirPlay μόνο στον τρέχοντα χρήστη.
Η Apple αναφέρει ότι υπάρχουν πάνω από 2,35 δισεκατομμύρια ενεργές συσκευές Apple παγκοσμίως (συμπεριλαμβανομένων iPhone, iPad, Mac και άλλων), ενώ η Oligo εκτιμά ότι υπάρχουν επίσης δεκάδες εκατομμύρια συσκευές ήχου τρίτων κατασκευαστών, όπως ηχεία και τηλεοράσεις με υποστήριξη AirPlay, χωρίς να υπολογίζονται τα συστήματα infotainment αυτοκινήτων με CarPlay.
Δείτε επίσης: Apple: Σοβαρή Zero-Click ευπάθεια στην εφαρμογή Shortcuts
Οι επιθέσεις τύπου zero-click, δηλαδή επιθέσεις που δεν απαιτούν καμία ενέργεια από τον χρήστη, είναι ιδιαίτερα επικίνδυνες επειδή μπορούν να πραγματοποιηθούν αθόρυβα, χωρίς να το αντιληφθεί το θύμα. Το γεγονός ότι τέτοιες επιθέσεις είναι πλέον εφικτές μέσω του AirPlay, ενός ευρέως χρησιμοποιούμενου πρωτοκόλλου στις συσκευές Apple και τρίτων κατασκευαστών, δείχνει πόσο σημαντικό είναι να εφαρμόζονται άμεσα οι ενημερώσεις ασφαλείας και να περιορίζεται η επιφάνεια επίθεσης ακόμα και σε φαινομενικά “αθώες” λειτουργίες όπως η ασύρματη μετάδοση ήχου και εικόνας.
Πηγή: bleepingcomputer
