Nowe luki w AirDrop i Quick Share. Apple, Google i Samsung już reagują

Badacze cyberbezpieczeństwa odkryli luki w AirDrop oraz Quick Share, które w określonych warunkach mogą zostać wykorzystane przez osobę znajdującą się w pobliżu urządzenia. Choć część poprawek została już wdrożona, to jednak nie wszystkie zgłoszone błędy zostały usunięte.

Exploity odkryli naukowcy z CISPA Helmholtz Center for Information Security, którzy przeanalizowali działanie obu technologii odpowiedzialnych za bezprzewodowe przesyłanie plików między urządzeniami Apple i Android. Ich badania wykazały trzy podatności związane z AirDrop oraz trzy kolejne dotyczące Quick Share, w tym wersji przeznaczonej dla systemu Windows.

Jak działają luki

W przypadku AirDrop atakujący znajdujący się w zasięgu sieci bezprzewodowej i dysponujący jedynie laptopem może doprowadzić do awarii usługi odpowiedzialnej za udostępnianie plików, jeśli odbieranie danych ustawiono na opcję „Wszyscy”. Co ważne, awaria obejmuje również inne funkcje ekosystemu Apple, takie jak AirPlay, Handoff, Universal Clipboard, Continuity Camera czy NameDrop, ponieważ korzystają z tego samego procesu działającego w tle.

Badacze cyberbezpieczeństwa odkryli luki w AirDrop oraz Quick Share, które w określonych warunkach mogą zostać wykorzystane przez osobę znajdującą się w pobliżu urządzenia. Choć część poprawek została już wdrożona, to jednak nie wszystkie zgłoszone błędy zostały usunięte.

Badacze opisali także błąd związany z parserem plików XML wykorzystywanym przez systemy Apple. Odpowiednio przygotowany plik może doprowadzić do przepełnienia stosu i wywołać awarię aplikacji korzystających z tego mechanizmu. Testy przeprowadzono między innymi na systemach macOS 15.7.4, macOS 26.3 oraz iOS 18 i iOS 26.3.

Problemy także z narzędziem Androida

Kłopoty występują również w przypadku Quick Share. Dwie podatności dotyczą urządzeń Samsunga i pozwalają ominąć część zabezpieczeń odpowiedzialnych za ustanawianie bezpiecznej sesji, a kolejna luka została znaleziona w aplikacji Google Quick Share dla Windows, gdzie błąd zarządzania pamięcią może potencjalnie zostać wykorzystany do uruchomienia złośliwego kodu, chociaż badacze nie przygotowali pełnego scenariusza takiego ataku.

Apple usunęło już jedną z wykrytych luk i przygotowało odpowiednią poprawkę, natomiast Google naprawiło problem w aplikacji Quick Share dla Windows oraz przyznało badaczom nagrodę w programie bug bounty, podczas gdy dwa błędy dotyczące rozwiązań Samsunga pozostają nadal analizowane.

Ograniczone działanie

W porównaniu z typowymi lukami umożliwiającymi zdalny atak przez internet, opisane podatności mają bardziej ograniczony zasięg, ponieważ napastnik musi znajdować się w odległości około 10 do 30 metrów lub działać w tej samej sieci lokalnej.

Tak czy siak jest to zagrożenie, więc użytkownicy powinni regularnie aktualizować iOS oraz Androida. Niezbędne poprawki zostaną zapewne wdrożone właśnie w jednej z takich łatek.