Six vulnérabilités dans AirDrop et Quick Share découvertes par des chercheurs allemands
Deux chercheurs allemands ont mis en lumière six failles dans les fonctionnalités de partage sans fil d’Apple et de Google/Samsung, permettant de faire planter des appareils à proximité sans aucune interaction de la part des victimes. Cette découverte, publiée le 25 juin 2026 par le CISPA Helmholtz Center for Information Security, souligne une analyse comparative des systèmes AirDrop et Quick Share, un domaine encore peu exploré, avec la plupart des recherches se concentrant sur la couche radio.
Les chercheurs ont développé un outil nommé AirFuzz, capable de tester automatiquement des milliers de variantes de messages envoyés à un appareil cible. Cet outil modifie les données avant leur compression, contournant ainsi les mécanismes de validation et augmentant les chances de provoquer des plantages.
Trois des vulnérabilités identifiées affectent AirDrop sur macOS et iOS, deux concernent Quick Share de Samsung, et une dernière touche l’application Windows de Google. Un point commun à toutes ces failles est qu’elles sont exploitables sans appairage préalable, à condition que l’appareil soit configuré pour accepter des connexions de n’importe qui.
Concernant les failles, celles d’Apple provoquent des plantages dans le démon système sharingd, qui gère AirDrop en arrière-plan. Une méthode simple pour provoquer un crash consiste à envoyer en boucle des requêtes vers une adresse non reconnue. Une autre vulnérabilité exploite l’absence de limite dans la lecture de certains fichiers de configuration, permettant à un petit fichier piégé de faire planter les applications compatibles.
Pour Quick Share, les chercheurs ont identifié deux failles dans la gestion des sessions. La première permet à un attaquant d’interagir avec l’appareil ciblé avant la fin de la procédure d’authentification, tandis que la seconde expose certains messages au risque d’interception sur le même réseau Wi-Fi.
La faille la plus préoccupante concerne l’application Windows de Google, où un bug de type use-after-free pourrait permettre l’exécution de code malveillant à distance. Bien que les chercheurs n’aient observé qu’un plantage, ils notent qu’une protection contre ce type de détournement est désactivée dans l’application.
Apple a reconnu les trois failles et a déjà attribué un identifiant CVE à l’une d’elles, bien que l’avis correspondant ne soit pas encore public. Samsung a transféré ses deux cas à Google, qui les examine toujours. Google a confirmé et corrigé le bug Windows.
Ces vulnérabilités présentent un risque limité, se manifestant dans une portée de 10 à 30 mètres ou au sein d’un même réseau local, sans constituer un danger à l’échelle d’Internet. Cependant, elles pourraient poser un problème dans des lieux publics tels que des aéroports ou des salles de conférence.
Les chercheurs recommandent de mettre à jour les appareils (iOS et macOS 26.5.2), de restreindre la réception AirDrop aux contacts, et de rendre Quick Share visible uniquement lors d’un transfert.
Source : Numerama
