Thought Leadership
Forschende des CISPA haben sechs Sicherheitslücken in AirDrop und Quick Share entdeckt. Angreifer in der Nähe können Abstürze und Bypasses auslösen.
Zwei Forschende des CISPA Helmholtz-Zentrums für Informationssicherheit, Arash Ale Ebrahim und Nils Ole Tippenhauer, haben sechs Sicherheitslücken in den Protokollen von AirDrop und Quick Share identifiziert. Die betroffenen Funktionen ermöglichen den kabellosen Dateiaustausch zwischen Geräten in direkter Umgebung. Ein Angreifer in Funkreichweite von zirka 10 bis 30 Metern oder im selben lokalen Netzwerk kann diese Schwachstellen mit einem Laptop ausnutzen, ohne dass eine vorherige Kopplung oder Bestätigung durch das Opfer erforderlich ist. Das Ökosystem dieser Dienste umfasst insgesamt mehr als fünf Milliarden aktive Apple- und Android-Geräte, wobei die Fehler spezifische Versionen betreffen.
Abstürze von Apple-Hintergrunddiensten durch AirDrop-Fehler
Die drei entdeckten AirDrop-Schwachstellen führen alle zum Absturz des Hintergrunddienstes sharingd unter iOS und macOS. Da dieser Dienst neben AirDrop auch für Funktionen wie AirPlay, Handoff, die universelle Zwischenablage, die Continuity-Kamera und NameDrop verantwortlich ist, fallen diese Dienste bei einem Absturz ebenfalls aus.
Der simpelste Angriff erfordert das wiederholte Senden einer manipulierten Anfrage alle zwei Sekunden an ein Gerät, dessen AirDrop-Sichtbarkeit auf Jeden eingestellt ist. Dies blockiert legitime Übertragungen dauerhaft. Eine weitere Schwachstelle basiert auf einem Stack-Overflow im XML-Property-List-Parser des Foundation-Frameworks, der durch eine Datei mit rund 200 verschachtelten Ebenen auszulöst wird. Die Forschenden reproduzierten die Abstürze auf macOS 15.7.4, macOS 26.3, iOS 18.x und iOS 26.3, während eine ältere Version von iOS 16 nicht betroffen war.
Umgehung von Sicherheitsprüfungen in Quick Share
Bei Quick Share auf Android-Geräten ermöglichen zwei Schwachstellen in der Implementierung von Samsung das Überspringen des verbindlichen Handshakes. Ein nicht verifiziertes Gerät kann dadurch die Verbindung steuern, bevor eine Verschlüsselung etabliert ist. Zudem können Kontrollnachrichten unverschlüsselt übertragen werden, wodurch Angreifer eine Verbindung in den Status Akzeptiert zwingen können. Die Tests wurden auf einem Galaxy S23 Ultra durchgeführt.
Die kritischste Schwachstelle betrifft Googles Quick Share für Windows. Dabei handelt es sich um einen Use-After-Free-Speicherfehler bei gleichzeitig kollidierenden Verbindungen. Im Quellcode der Anwendung existierte bereits ein Kommentar der Entwickler dazu: „Wir hatten hier einen Fehler, verursacht durch einen Wettlauf mit EncryptionRunner.“ Die zur Behebung des alten Fehlers implementierte Änderung führte zur Entstehung der neuen Schwachstelle.
Status der Sicherheitsupdates und Schutzmaßnahmen
Bisher gibt es keine Berichte über eine aktive Ausnutzung der Schwachstellen. Apple hat eine der drei AirDrop-Lücken mit den Sicherheitsupdates vom 29. Juni für iOS und macOS 26.5.2 behoben, während die beiden anderen Fehler sich noch in der koordinierten Offenlegung befinden. Google hat die Schwachstelle in der Windows-App mittels eines Code-Fixes geschlossen und eine Prämie ausgezahlt; die Zuweisung der CVE-Kennung steht noch aus. Die beiden Fehler in der Samsung-Version werden derzeit noch untersucht. Als temporäre Schutzmaßnahme wird empfohlen, die Sichtbarkeit von AirDrop und Quick Share auf Kontakte zu beschränken oder vollständig zu deaktivieren, wenn keine Dateien empfangen werden.
(red)
