AirBorne：Apple AirPlayにおけるワーム化可能なゼロクリックRCEにより、数十億台のデバイスが危険に | Oligo Security

要約（TL;DR）

Oligo Security Researchは、AppleのAirPlayプロトコルおよびAirPlayソフトウェア開発キット（SDK）における新たな脆弱性一式を発見しました。AirPlay SDKは、サードパーティベンダーがAirPlayをサードパーティ製デバイスに統合するために使用されています。

これらの脆弱性により、以下を含む多様な攻撃ベクトルと結果が可能になります：

• ゼロクリックRCE
• ワンクリックRCE
• アクセス制御リスト（ACL）およびユーザー操作のバイパス
• ローカル任意ファイル読み取り
• 機微情報の漏えい
• 中間者（MITM）攻撃
• サービス拒否（DoS）

これらの脆弱性は攻撃者によって連鎖させることができ、AirPlayをサポートするデバイス（AppleデバイスおよびAirPlay SDKを利用するサードパーティ製デバイスの双方を含む）を制御できる可能性があります。 

これらの脆弱性と、それによって可能になる攻撃ベクトルは、Oligo Securityの研究者により「AirBorne」と命名されました。可能となる攻撃が無線ネットワークまたはピアツーピア接続を介して伝播し、攻撃者がデバイスを完全に乗っ取り、そのアクセスをさらなる侵害の足がかりとして利用できるためです。

Oligoは、2つの脆弱性（CVE-2025-24252およびCVE-2025-24132）により、攻撃者がワーム化可能なゼロクリックRCEエクスプロイトを武器化できることを実証しました。これは、攻撃者が特定のAirPlay対応デバイスを乗っ取り、感染デバイスが接続する任意のローカルネットワーク上のデバイスへ拡散するマルウェアを展開する、といったことが可能になることを意味します。これにより、諜報、ランサムウェア、サプライチェーン攻撃など、より高度な攻撃の実行につながる可能性があります。 

AirPlayはAppleデバイス（Mac、iPhone、iPad、AppleTVなど）にとって基盤的なソフトウェアであると同時に、AirPlay SDKを利用するサードパーティ製デバイスにも組み込まれているため、この種の脆弱性は広範な影響を及ぼし得ます。

参考として：

• 世界中のすべてのAppleデバイスがAirBorne経由のRCEに脆弱というわけではありませんが、Appleは2025年1月時点で、世界にアクティブなAppleデバイスが23.5億台あると述べています。 
• 2018年、Appleは世界で1億人を超えるアクティブなMacOSユーザーがいると示しました。    
• iPhone、Apple TV、Vision Proなど他のAppleデバイスは、別のAirBorne脆弱性の影響を受けます。iPhoneなどのデバイスでは、ユーザーが端末設定でAirPlayレシーバーを有効化する必要があります。
• さらに、AirPlayをサポートするサードパーティ製オーディオ機器の数は数千万台規模と見積もれます。
• CarPlay対応デバイスの正確な台数は不明ですが、広く利用されており、800を超える車種モデルで利用可能です。

AppleとOligoは、エンドユーザー保護を目的として、脆弱性の特定と対処に向けて緊密に協力してきました。Appleは脆弱性に対処する最新ソフトウェアをリリースし、デバイスが更新されるための時間も確保しました。責任ある開示プロセスを通じて、Oligoはこれらの脆弱性に関連する文書、手順、コードをAppleに提供しました。

Oligoは合計23件の脆弱性をAppleに開示し、その結果17件のCVEが発行されました。これらCVEの完全な一覧と説明、およびそれらが可能にする具体的な攻撃シナリオは以下に掲載しています。

攻撃の種類

Oligoが発見した脆弱性は、単独でも連鎖させても、リモートコード実行（RCE）、アクセス制御リスト（ACL）およびユーザー操作のバイパス、ローカル任意ファイル読み取り、機微情報の漏えい、中間者（MITM）攻撃、サービス拒否（DoS）攻撃など、さまざまな攻撃ベクトルを可能にします。

本ドキュメントでは、MacOS、AirPlay SDK、CarPlayを使用するデバイスに対するRCE攻撃に焦点を当てます。今後の投稿では、AirPlayに関連する他の種類の攻撃や他のデバイスについても検討する可能性があります。  

技術概要

攻撃ベクトルの仕組み

AirPlayは、HTTPとRTSPプロトコルの要素を組み合わせた独自のAPIを用い、ポート7000で通信します。このシステムでは、多くのコマンド、特に追加パラメータを必要とするものが、plist形式でエンコードされたHTTPデータペイロードとして送信されます。

プロパティリスト、すなわちplistは、Appleエコシステム内で広く使用される構造化データ形式で、データのシリアライズと保存に用いられます。plistは、階層的なキー・バリューペアの集合としてデータを表現し、複雑な情報を整理できます。文字列、数値、日付、ブール値、配列、辞書など、さまざまなデータ型をサポートし、XMLまたはバイナリ形式のいずれかでシリアライズできます。

AppleのCore Foundation APIは、plistファイルの取り扱いにおいて重要な役割を果たします。これらのAPIは、plistの読み取り、書き込み、シリアライズのための包括的な機能を提供します。

plistはAirPlayレシーバーへ引数を送る主要な手段であるため、plistとその構造を理解することは、プロトコルを理解する上で不可欠です。さらに、多くの脆弱性はplist引数のパースフローに直接関連しています。

plistパラメータの不適切な取り扱いに起因する型混同脆弱性の一例がCVE-2025-24129です。これは1月にすでに公開されているため、いくつかの技術的詳細を共有しても問題ないと判断しました。残りの脆弱性（本日公開されたものを含む）の技術的詳細については、ほとんどのユーザーが最新バージョンへ更新し、影響を受けなくなったことを確認した後、別の投稿で扱います。

CVE-2025-24129を用いて示す型混同URI: /getProperty
Method: POST

AirPlayのgetPropertyコマンドは、現在の音量レベルやデバイス名など、レシーバーから特定のプロパティや設定を取得するために使用されます。

メソッドCFPropertyCreateWithDataは、クライアントから送信されたHTTPデータからpropertylistを作成します。このメソッドは、ユーザーが提供するデータに応じて、異なるCFType値（CFArray/CFStringなど）を返すことがあります。

上の画像のとおり、CFPropertyListCreateWithDataを用いてプロパティリストが作成されますが、生成されたplistの型（CFType）はチェックされず、辞書であると仮定されています。 
作成されたplistがCFDictionaryでない場合、plistに対してCFDictionaryGetValueのようなメソッドを呼び出すと、プロセスがクラッシュします。

‍悪用可能性：CFDictionaryGetValueはCoreFoundationライブラリの一部であるため、この問題の悪用可能性はCoreFoundationのバージョンに依存します。Core Foundationのバージョン間で悪用可能性が異なる点は、私たちが見つけた型混同の多くに当てはまります。