Apple AirPlay-apparaten konden overgenomen worden via lokale netwerken

Onderzoekers hebben een reeks kwetsbaarheden in Apple AirPlay onthuld. Die maakten het mogelijk om op afstand code te draaien op apparaten met AirPlay, mits die zich op hetzelfde netwerk bevonden. Apple heeft de bugs al gepatcht.

Details over de 23 kwetsbaarheden werden gedeeld door cybersecuritybedrijf Oligo Security, dat de bugs 'AirBorne' heeft genoemd. Volgens de onderzoekers konden de bugs gebruikt worden voor verschillende soorten aanvallen. Daaronder vallen 'zeroclick'- en 'oneclick'-aanvallen die het mogelijk maakten voor hackers om hun eigen code op kwetsbare apparaten te draaien. Dat gold zowel voor kwetsbare Apple-apparaten, als voor apparaten van derden die de AirPlay-sdk gebruiken, zoals sommige slimme speakers, settopboxen, smart-tv's of andere iot-apparaten.

De AirBorne-kwetsbaarheden kunnen alleen uitgebuit worden als de hacker en het slachtoffer zich op hetzelfde netwerk bevinden, bijvoorbeeld via wifi of een peer-to-peer-verbinding. Als dat eenmaal zo is, dan kunnen ze kwetsbare apparaten overnemen en die gebruiken om andere kwetsbare AirPlay-apparaten op hetzelfde netwerk over te nemen.

AirPlay. Bron: Apple

In een demonstratie lieten de onderzoekers zien dat aanvallers twee van de kwetsbaarheden kunnen gebruiken om een wormable rce-exploit te maken, waarbij een apparaat in theorie overgenomen kan worden zonder dat het slachtoffer ergens op hoeft te klikken. Volgens Oligo kunnen hackers bijvoorbeeld een apparaat overnemen, en daar vervolgens malware op installeren die zich op andere apparaten op het lokale netwerk verspreidt.

De kwetsbaarheden zijn inmiddels al wel opgelost door Apple. De patches zijn doorgevoerd in iOS en iPadOS 18.4 en macOS-versies 13.7.5, 14.7.5 en 15.4. Ook de Apple Vision Pro is inmiddels gepatcht, net als de AirPlay-sdk's die gebruikt worden door derden. Gebruikers wordt aangeraden om hun apparaten te updaten. Gebruikers kunnen ook de AirPlay-ontvanger op hun Apple-apparaten uitschakelen als ze die niet gebruiken, onder 'Algemeen' en daarna 'AirPlay en Continuïteit'.

AirPlay is een techniek waarmee iPhones en Macbooks gemakkelijk muziek of video's kunnen afspelen op andere Apple-apparaten, of op apparaten van derden, zoals slimme speakers, smart-tv's of mediaspelers. Het is niet duidelijk hoeveel apparaten precies kwetsbaar zijn voor AirBorne. Oligo zegt wel dat de kwetsbaarheden 'vergaande impact' kunnen hebben. Apple zegt dat er wereldwijd 2,35 miljard actieve Apple-devices zijn, hoewel die niet allemaal kwetsbaar zullen zijn. Oligo schat daarnaast dat er 'tientallen miljoenen' apparaten van andere bedrijven zijn die overweg kunnen met AirPlay.

Een demonstratie van een paar AirBorne-kwetsbaarheden.

Reacties (46)

[pelican]

Apple heeft de kwetsbaarheden opgelost... Hoe zit het dan met de apparaten van andere fabrikanten die geen updates meer ontvangen? Bijv. de AudioPro apparaten?

[asing]

De bugs zitten ook in de SDK. Dat maakt dat je een apparaat via airplay kan infecteren wat daarna zelfstandig op zoek gaat naar andere airplay apparatuur in de buurt.

Met andere woorden: ieder apparaat wat van de SDK gebruik maakt heeft een patch nodig.

[beeldbuijs]

Dat zijn zo te zien Bluetooth speakers die niet zo veel anders kunnen dan geluid laten horen. Ik stel me voor dat je daar niet zo veel schade mee aan kunt richten. Er staat geen gevoelige info op. Je kunt er waarschijnlijk geen malware op zetten en stel dat dat wel kan, dan kan die malware veel minder kwaad dan op je iPhone / iPad / Mac. Er staat geen persoonlijke data op je speaker, bt speakers kunnen niet het internet op om naar huis te bellen, etc.

[Commendatore]

Ik denk dat je dat toch wat onderschat. Dat de apparatuur normaal alleen wordt gebruikt voor het weergeven van audio, betekent niet dat je er geen malware op kunt zetten die eventueel andere, kwaadaardige dingen zou kunnen doen. Denk aan ze opnemen in een botnet om andere zaken aan te vallen.

[beeldbuijs]

Aangezien iOS etc gepatched zijn, zou dat botnet zich tot het bereik van het Bluetooth netwerk en andere bt apparaten) beperken. Wat gaat deze speaker doen, stiekem een echoput-effect maken? 😎

[Commendatore]

Oh, wacht. Verkeerd gelezen dan. Ik dacht dat je het over speakers met Airplay had. Bij Bluetooth-speakers is dat, zeker op grote schaal, minder waarschijnlijk.

[Reactie gewijzigd door Commendatore op 30 april 2025 22:32]

[bzzzt]

Helemaal mee eens dat het in theorie mogelijk is, maar in de praktijk vereist het wel een gerichte aanval vanaf een ander gecompromitteerd apparaat op het lokale netwerk waarbij de aanval specifieke exploits heeft voor het doelapparaat. Er zijn duizenden apparaten met Airplay ingebouwd die verschillende architecturen en OSen gebruiken, dus hier een universele exploit voor maken is een tijdrovende klus. Ook is het vaak niet mogelijk de malware persistent te maken dus na een keer de stekker er uit zal er een nieuwe infectie plaats moeten vinden.
Dit soort dingen zit meer op het nivo van 'state sponsored' hackers dan van een random botnet operator die snel en goedkoop veel machines toe wil voegen.

[Bliksem B]

Je comment klopt wel. Airplay gaat niet over Bluetooth namelijk.

Het verschilt erg per apparaat denk ik wat mogelijk is? Veel soundbars, receivers en en versterkers ondersteunen Airplay wanneer er een wifi verbinding aanwezig is. Velen krijgen al jaren geen updates meer.

Sommige draaien Linux op de achtergrond, anderen wat anders. Als het enkel een doorgeefluik is voor malware, lijkt het me een reëel scenario. Afhankelijk van de wilskracht van de aanvaller natuurlijk.

[pelican]

Het zijn streaming speakers met naast bluetooth ook wifi voor o.a. airplay. Die kunnen dus wel het internet op. Heb zelf mijn thuisnetwerk opgedeeld in verschillende subnets, zodat enkel Lyrion media server ze ziet en niet alle andere apparaten (muziek afspelen gaat via Lyrion). Juist om dit soort redenen. Helaas niet alles in eigen Vlans maar dit is een (beperkt) alternatief.

[Bliksem B]

Airplay over Bluetooth is geen ding. Audiolab heeft 2 varianten. De Bluetooth en de streamer variant. Al is der verwarring begrijpelijk.
uitvoering: Audiolab 6000A Play Draadloze Streamer Zwart
uitvoering: Audiolab 6000A Zwart
Mijn broer heeft onlangs een Audiolab 6000a gekocht. Met het idee dattie airplay kreeg. Want zelfde typenummer. Toch niet...

[beeldbuijs]

cc @pelican @Commendatore
OK, en sowieso zijn er altijd wel andere merken / modellen die wel WiFi hebben natuurlijk, maar de potentie van het risico op een botnet / malware wordt drastisch beperkt doordat de (initiële) aanvaller op hetzelfde lokale netwerk moet zitten, als ik het artikel goed begrijp. Het opzetten grootschalig besmetten / opzetten van botnetten wordt daardoor lastig.

[Bliksem B]

Thuis misschien ja. Op openbare wifi werkt airplay ook. Er hoeft maar 1 mobiel geïnfecteerd raken, die neem je mee naar huis. Vervolgens besmet die al je apparaten thuis en die geven het weer door op een andere locatie. Beetje zoals floppievirussen werkten vroeger. Of Wikipedia: Stuxnet.

Gelukkig is er een patch voor iPhones. Waardoor op een openbaar netwerk enkel de oude losse apparaten besmet kunnen raken en deel kunnen nemen aan botnetwerk of spionage (als je een ingebouwde microfoon hebt). Echter, als je een oude iPhone als muziekspeler gebruikt, gaat dit alweer niet op en kan een virus alsnog verspreiden.

[beeldbuijs]

Als je probeert wat meer details te vinden via het gelinkte artikel, lees je dat ze nog niet het naadje van de kous willen onthullen, tot 'meer apparaten bijgewerkt zijn', wat logisch is. Het kan theoretisch zo zijn dat nog nooit iemand dit ontdekt en toegepast heeft, maar als het wel al bekend was, zou je denken dat er op enig moment, op een bepaalde plaats met openbare AirPlay dan toch heel wat besmettingen zouden moeten hebben plaatsgevonden, maar dat blijkt nergens uit. Dat roept vragen op.

Bij bijna alle op het eerste gezicht spectaculaire hacks uit het verleden bleek er toch nog een beperkende factor, waardoor de soep niet zo heet werd gegeten. Vaak bleek fysieke toegang tot het apparaat een voorwaarde bijvoorbeeld, of de aanwezigheid van een sluimerend user account of zo. Daarom ben ik benieuwd wat de nog niet onthulde details zijn en of daaruit blijkt dat deze kwetsbaarheid echt zo 'zuiver' is als nu gesuggereerd wordt.

Sorry als ik te sceptisch ben, maar zulke echt spectaculaire hacks zijn nou eenmaal vrij zeldzaam.

[Bliksem B]

Ik vind het eerder naïef. Zerodays worden voor flink wat geld verkocht. Die worden gebruikt voor doelgerichte aanvallen op mensen die er toe doen. Zoals met pegasus.

Als je ooit windows XP hebt gedraait zonder service pack, terwijl sp3 al uit was, weet je dat oude kwetsbaarheden wel degelijk op grote schaal toegepast kunnen worden. Je kreeg dan allemaal random spam berichten via systeem popups. Dat was dan dus nog zichtbaar.

Heb je ooit een server server of nas gedraaid? Dan weer je dat je per dag 10tallen unieke inlogpogingen krijgt, en 100en ip's verbinding maken

[Reactie gewijzigd door Bliksem B op 2 mei 2025 06:28]

[beeldbuijs]

Zeker, alleen al een totaal onbekende Wordpress site wordt constant bestookt. In de praktijk is dat prima af te schermen en geen enkel probleem. In meer dan 25 jaar heb ik allerlei sites gebouwd en nog steeds hou ik er enkele tientallen bereikbaar / up to date, voor klanten. Één keer meegemaakt dat een site besmet bleek en dat kwam via een andere gebruiker op dezelfde shared hosting machine, bij het betreffende hostingbedrijf, die niet afdoende streng was ingesteld, waardoor zijn besmetting – opzettelijk of niet – andere sites kon raken. Toen werd die site omgetoverd tot een soort linkfarm. Backup teruggezet en dat was het dan.

[arjankoole]

Apple heeft de kwetsbaarheden opgelost... Hoe zit het dan met de apparaten van andere fabrikanten die geen updates meer ontvangen? Bijv. de AudioPro apparaten?

Ik kan me niet herinneren een update voor mijn tv gezien te hebben.

Die zit gelukkig in een afgeschermd VLAN...

[Dhemes]

Je kan ook vlan met firewall rules opzetten om zulke kwetsbaarheden te verminderen.

[Die_ene_gast]

Zie jij dat ome Gerrie al doen?

[Annihlator]

Een vlan opzetten noemen wanneer het gros van de mensen die deze functies gebruiken dat via WiFi doen... daarom is het potentiele attack-surface ook zo groot.

[Keypunchie]

Die zijn best heftig. Gelukkig al een maandje geleden de patches geinstalleerd. Wel de vraag hoe dit zich dan gedraagt op bvb. een Homepod.

Nou valt 1 dingetje me zowel mee als tegen.

Blijkbaar staat Airplay Receiver default "aan" op MacOS, wel met de setting "current user" (oftewel, je kunt een filmpje van je iPhone streamen naar je laptop), maar betekent wel dat die poort standaard luistert.

Toch maar eens uitgezet.

[Commendatore]

Ik denk dat dit voor het leeuwendeel van de gebruikers wel de meest logische instelling is. Als je het eerst nog via de instellingen aan moet zetten, zijn er niet veel die het gaan gebruiken en zonder kwetsbaarheden kunnen anderen er verder ook niet zo vreselijk veel mee.

[MiesvanderLippe]

Mijn HomePods draaiden allebei 18.3 en toen ik in de instellingen keek wilden ze opeens updaten naar 18.4.1. Niet zo agressief als een auto-update op een iPhone.

[Commendatore]

Ik vraag me af hoeveel apparaten van derde partijen uiteindelijk gepatcht gaan worden hiervoor. Veel van dit soort apparaten krijgen maar kort en vaak ook vrij onregelmatig updates.

[- peter -]

Ja, de kwetsbaarheid zit m dan ook vooral in die apparaten. Die blijven nog jaren in gebruik zonder patches.

[EquiNox]

Ik ben er altijd voor om dingen uit te zetten als je ze niet gebruikt, dan kunnen ze ook niet ge-exploit worden.
Ikzelf heb bijv geen Apple apparatuur, dus AirPlay gaat bij mij standaard uit in de instellingen van alle devices die het ondersteunen.

Ook als je nooit streamt vanaf je mobiel naar bijv een Smart TV, kun je e.e.a. gerust uit zetten.

[Bliksem B]

Het verschilt erg per apparaat wat mogelijk is, denk ik ? Veel soundbars, receivers en en versterkers ondersteunen Airplay wanneer er een wifi verbinding aanwezig is.

Sommige draaien Linux op de achtergrond, anderen wat anders. Als het enkel een doorgeefluik is voor malware, lijkt het me een reëel scenario. Afhankelijk van de wilskracht van de aanvaller natuurlijk.

Tijd om airplay uit te zetten en rustig af wachten of er een aanval komt?

[Mushroomician]

Hoezo alleen lokaal?
De service luistert toch gewoon op poort 7000? Met ipv6 is er geen NAT en dus aanspreekbaar. Lekker handig zo een zakcomputer zonder firewall.

[Reactie gewijzigd door Mushroomician op 1 mei 2025 00:13]

[Commendatore]

In elk geval bij KPN zit er, zolang je het APN ‘internet’ gebruikt, een firewall voor.

[Annihlator]

Leuk, ik weet nog wel wat voorbeelden van (hoofdzakelijk Sonos-) speakers die al een tijdje geen firmware-updates meer krijgen en wel airplay ondersteunen; maar volgens mij is er geen manier om dat individueel uit te schakelen.

Zijn niet mijn eigen apparaten, maar ik voel de bui al hangen dat die vraag op mn bord belandt.

[Cihan1988]

Zodra je met het internet bent verbonden bestaat er geen veiligheid.

[The Zep Man]

Wat heeft dat hiermee te maken?

De AirBorne-kwetsbaarheden kunnen alleen uitgebuit worden als de hacker en het slachtoffer zich op hetzelfde netwerk bevinden, bijvoorbeeld via wifi of een peer-to-peer-verbinding.

Er hoeft dus niet eens sprake te zijn van een internetverbinding, want misbruik vindt plaats in hetzelfde netwerksegment.

Veiligheid bestaat wel, maar is niet absoluut. Je kan jezelf niet beschermen tegen een overheid die zich met een miljardenbudget enkel en specifiek op jou richt. Wel kan je jezelf beschermen tegen veelvoorkomende, laagdrempelige en ongerichte aanvallen.

[Reactie gewijzigd door The Zep Man op 1 mei 2025 08:46]

[beeldbuijs]

Als je telefoon gehackt wordt, is dat niet levensbedreigend.

[ASS-Ware]

Als je telefoon gehackt wordt, is dat niet levensbedreigend.

Identity theft is best heftig hoor.

[The Zep Man]

Identiteitsdiefstal bestaat met name in fictie. Identiteitsfraude is wat in werkelijkheid vaak voorkomt.

[Hobbit13]

Hangt er vanaf waar je woont en wat je denkt. Je telefoon ‘weet’ alles van jou, waar je bent, wat je zegt enzovoort.

[bzzzt]

Er zijn meerdere gevallen bekend van zelfmoord na het lekken van intieme foto's.

[beeldbuijs]

Gaat mij er meer om dat de '1-2-3-veel' logica / stap van een zwakheid in AirPlay naar 'Zodra je met het internet bent verbonden bestaat er geen veiligheid.' zo groot is, dat nergens meer op slaat.

[arjankoole]

Als je telefoon gehackt wordt, is dat niet levensbedreigend.

tot je daardoor niet 112 kan bellen, op een moment dat het heel erg nodig is.

[beeldbuijs]

En hoe vaak heb jij al 112 moeten bellen vanwege een levensbedreigende situatie?

[arjankoole]

5 keer.

[markg85]

Geen erge bug, gewoon dat. Een bugje wat opgelost moet worden (en inmiddels is).

Natuurlijk hapt de naam "remote code execution" samen met een mooi indringend logo en een lekker klinkende name natuurlijk mooi voor de onderzoeker. Maar feit blijft, het was alleen mogelijk als je al in hetzelfde netwerk zit. Waarmee de aanvalskans niet echt noemenswaardig is. Zoals gezegd, gewoon een bugje. En weer door

[Annihlator]

Want mensen verbinden altijd en alleen met adequaat beveiligde privenetwerken? Gemakszucht en desinteresse hebben niet de overhand? Ga dan eens hoognodig de deur uit.

Het feit dat ook wormen automagisch verspreidbaar zijn (die ad-hoc ook binnen kunnen komen) en dingen als SSID feigning/hijacking zéér toepasbaar zijn lijken jou geenszins factoren te kunnen worden?

Enkel op enterprise niveau kom je met aardige regelmaat propere netwerkscheiding tegen, maar daarbuiten kan je vaak maar beter niets verwachten...

[markg85]

Overdrijven is ook een vak.

Zoals jij het beschrijft komt het over alsof er om je huis heen een leger hackers klaarligt om elk beveiligingsgat gelijk te misbruiken. Is het lek dan wordt het misbruikt, zo lijkt je aanname.

Een lek als dit, en met mentaliteit als de jouwe, is paniek zaaien en onrust om (bijna) niets.

Ik zeg meer: rustig aan, is alleen kwetsbaar als een ander al in je netwerk zit en zelfs dan alleen iemand met kwade bedoelingen. Volgende patch ronde en klaar, opgelost.

[Annihlator]

Er is geen "leger hackers" voor nodig, daarom noem ik specifiek het voorbeeld van de worm. Er hoeft dan eigenlijk geen mens tussen en elk apparaat zou zelfstandig een zoekpoging kunnen doen of zelf even een ad-hocje ernaast opzetten die wel open is.

Dat kan alleen als genoeg mensen doe alsof er niets mee kan gebeuren waardoor ook over een tijd kwetsbare apparaten nog steeds verbonden zijn, en het gaat hier nou eenmaal ook over apparaten die inmiddels geen updates ontvangen; dus nee, het is niet aannemelijk dat dat gat "overal" zo makkelijk gedicht wordt.

[Die_ene_gast]

Ik dacht juist dat, omdat het zo duur is, dat het allemaal zo veilig was enzo?

[Pascal tekenaar]

Ik wou Airplay luidsprekers kopen, maar twijfel vanwege deze kwetsbaarheden.
Misschien moet ik toch maar bij bekabelde luidsprekers blijven...