Ces six failles dans AirDrop et Quick Share permettent de faire planter des appareils à proximité

Deux chercheurs du CISPA Helmholtz Center for Information Security, un centre de recherche allemand spécialisé en cybersécurité, ont identifié six vulnérabilités dans les systèmes de partage sans fil d'Apple (AirDrop) et de Google/Samsung (Quick Share). Ces failles permettent de provoquer des plantages d'appareils à proximité, sans que l'utilisateur n'ait besoin d'interagir avec son appareil. Les chercheurs ont développé un outil appelé AirFuzz pour tester automatiquement des milliers de variantes de messages envoyés aux appareils cibles. Leur méthode repose sur la modification des données avant leur compression, ce qui contourne les mécanismes de validation et augmente les chances de déclencher des dysfonctionnements. Ces vulnérabilités sont exploitables dès lors que l'appareil est configuré pour accepter des connexions de n'importe qui, sans appairage préalable. La portée de ces attaques reste limitée à une distance de 10 à 30 mètres ou à un même réseau local, comme un Wi-Fi public.

Trois des six failles découvertes concernent AirDrop, la fonctionnalité de partage sans fil d'Apple, sur iOS et macOS. Ces vulnérabilités permettent de faire planter le démon système sharingd, un programme essentiel qui gère AirDrop en arrière-plan. L'une des attaques les plus simples consiste à envoyer en boucle, toutes les deux secondes, une requête vers une adresse inconnue du système, provoquant un plantage systématique. Une autre faille exploite l'absence de limite dans la lecture de fichiers de configuration par Apple : un fichier piégé contenant environ 200 niveaux de données imbriquées fait planter toute application capable d'ouvrir ce type de fichier. Ces bugs ont été reconnus par Apple, qui a attribué un identifiant CVE (une référence standardisée pour les vulnérabilités) à l'une d'elles, bien que l'avis public ne soit pas encore disponible.

Deux des vulnérabilités identifiées touchent Quick Share, la fonctionnalité de partage sans fil de Samsung, qui est également utilisée par Google sur certains appareils. La première faille permet à un attaquant d'échanger des données avec l'appareil ciblé avant même que la procédure d'authentification ne soit terminée, ce qui compromet la sécurité dès le début de la connexion. La seconde faille concerne le chiffrement des messages : certains échanges échappent à la protection normalement assurée par le chiffrement de la session, permettant à une personne sur le même réseau Wi-Fi d'intercepter ou de modifier ces messages. Samsung a transmis ces deux cas à Google pour analyse et correction.

La sixième vulnérabilité, considérée comme la plus critique, affecte l'application Quick Share de Google sur Windows. Il s'agit d'un bug de type use-after-free, un défaut de programmation où le logiciel continue d'utiliser une zone de mémoire déjà libérée. Ce type de faille peut, dans certains cas, être exploité pour exécuter du code malveillant à distance. Bien que les chercheurs n'aient confirmé que des plantages et non une prise de contrôle complète, ils soulignent qu'une protection censée empêcher ce genre d'attaque est désactivée dans l'application. Google a confirmé et corrigé ce bug, récompensant les chercheurs par une prime, en attendant l'attribution d'un identifiant CVE.