Se identificaron múltiples vulnerabilidades en el protocolo AirPlay de Apple que, si se explotan con éxito, podrían permitir a un actor malicioso tomar el control de dispositivos susceptibles que admitan la tecnología inalámbrica patentada.
Productos afectados
Versiones menores a:
- iOS 18.4
- iPadOS 18.4
- iPadOS 17.7.6
- macOS Sequoia 15.4
- macOS Sonoma 14.7.5
- macOS Ventura 13.7.5
- tvOS 18.4
- visionOS 2.4
Impacto
Las vulnerabilidades de mayor severidad se han identificado como:
CVE-2025-24252: con una puntuación de 9.8 en CVSS v3.1. Se trata de una vulnerabilidad de uso tras liberación de memoria. Un actor malicioso en la red local podría corromper la memoria de proceso.
CVE-2025-24206: con una puntuación de 7.7 en CVSS v3.1. Se trata de una vulnerabilidad en la gestión de estados de autenticación. Un actor malicioso en la red local podría eludir la política de autenticación.
CVE-2025-24132: con una puntuación de 6.5 en CVSS v3.1. Se trata de una vulnerabilidad en la gestión de memoria. Un actor malicioso en la red local podría provocar el cierre inesperado de la aplicación.
Nota: Las vulnerabilidades CVE-2025-24252 y CVE-2025-24132 podrían combinarse para crear un exploit RCE de cero clic que pueda convertirse en gusano, lo que permitiría a los actores maliciosos implementar malware que se propaga a dispositivos en cualquier red local a la que se conecte el dispositivo infectado. En caso de éxito, se podría permitir la ejecución remota de código (RCE) con un solo clic o cero, la elusión de listas de control de acceso (ACL) y la interacción del usuario, la lectura arbitraria de archivos locales, la divulgación de información, ataques de adversario en el medio (AitM) y denegación de servicio (DoS).
Esto incluye la combinación de CVE-2025-24252 y CVE-2025-24206 para lograr un RCE sin clic en dispositivos macOS conectados a la misma red que el actor malicioso. Sin embargo, para que este exploit tenga éxito, el receptor AirPlay debe estar activado y configurado en la configuración «Cualquier persona en la misma red» o «Todos».
El dispositivo de una víctima podría verse comprometido al conectarse a una red wifi pública. Si posteriormente se conecta a una red empresarial, podría proporcionar al actor malicioso una forma de vulnerar a otros dispositivos conectados a la misma red.
Recomendación
Actualizar a la última versión disponible a través del sitio web oficial del fabricante.
Referencias
https://www.oligo.security/blog/airborne
https://nvd.nist.gov/vuln/detail/CVE-2025-24252
https://nvd.nist.gov/vuln/detail/CVE-2025-24206
https://nvd.nist.gov/vuln/detail/CVE-2025-24132