Множинні вразливості в протоколі AirPlay, а також в AirPlay Protocol and AirPlay Software Development Kit (SDK) наражають непропатчені пристрої Apple і сторонні гаджети на ризики різних атак, включаючи віддалене виконання коду.

За даними дослідників із компанії Oligo Security, які виявили ці вразливості, проблеми можуть застосовуватися для атак типу zero-click і one-click (RCE), Man-in-the-Middle (MitM), провокування відмови в обслуговуванні (DoS), обходу списків управління доступом (ACL), а також взаємодії з користувачем із метою отримання доступу до конфіденційної інформації та читання довільних локальних файлів.

Загалом експерти повідомили Apple про 23 вразливості, і 31 березня 2025 року компанія випустила оновлення безпеки для iPhone і iPad (iOS 18.4 і iPadOS 18.4), Mac (macOS Ventura 13.7.5, macOS Sonoma 14.7.5 і macOS Sequoia 15.4), а також Apple Vision Pro (visionOS 2.4). Крім того, вийшли виправлення для AirPlay audio SDK, AirPlay video SDK і CarPlay Communication Plug-in.

Дослідники дали вразливостям загальну назву AirBorne. У компанії розповідають, що їх можна експлуатувати через P2P-з’єднання, а також перебуваючи в одній бездротовій мережі з жертвою. Водночас проблеми дають змогу захопити контроль над уразливим пристроєм і використати його як відправну точку для компрометації інших девайсів із підтримкою AirPlay у тій самій мережі.

Дві вразливості (CVE-2025-24252 і CVE-2025-24132) можуть застосовуватися для створення zero-click експлоїтів із потенціалом хробака, призначених для віддаленого виконання довільного коду. Приклад такої атаки, продемонстрований дослідниками, можна побачити тут.

Ще одна вразливість (CVE-2025-24206) дає змогу обходити необхідність натискання на кнопку «Accept» під час запиту AirPlay і може використовуватися спільно з іншими багами для реалізації zero-click атак.

“Це означає, що зловмисник може захопити контроль над деякими пристроями з підтримкою AirPlay і виконувати такі дії, як розгортання шкідливого ПЗ, яке в підсумку пошириться на інші пристрої в тій самій локальній мережі, до якої під’єднано заражений пристрій. Це може призвести до здійснення складних атак, пов’язаних зі шпигунством, здирницьким ПЗ, атакам на ланцюжки поставок тощо, – пишуть фахівці. – Оскільки AirPlay є фундаментальною частиною ПЗ для пристроїв Apple (Mac, iPhone, iPad, AppleTV та інших), а також для пристроїв сторонніх виробників, що використовують AirPlay SDK, цей клас вразливостей може спричинити серйозні наслідки”.

За оцінками експертів, перед проблемами AirBorne уразливі не тільки 2,35 млрд пристроїв Apple, а й десятки мільйонів сторонніх ґаджетів, включно з розумними колонками (у цьому PoC-відео дослідники виводять довільне зображення на колонку Bose) і телевізорами з підтримкою AirPlay, а також автомобільними інфотейнмент-системами з підтримкою CarPlay.

«Оскільки AirPlay підтримується у величезній кількості пристроїв, на випуск виправлень для багатьох із них підуть роки, або вони не будуть виправлені ніколи», – вважають в Oligo Security.

Дослідники рекомендують організаціям негайно оновити всі корпоративні пристрої Apple і пристрої з підтримкою AirPlay до останніх версій, а також попросити співробітників оновити всі особисті гаджети.

Як додаткові заходи захисту фахівці радять розглянути, наприклад, вимкнення AirPlay, якщо він не використовується, або обмеження доступу до AirPlay тільки довіреними пристроями за допомогою правил брандмауера.