AirDrop en Quick Share zijn kwetsbaarder dan gedacht
Wie foto’s, video’s of andere documenten deelt met vrienden, familie of collega’s gebruikt waarschijnlijk vaak AirDrop of Quick Share. Een nieuw onderzoek toont echter aan dat die deelfuncties de deur openzetten voor aanvallen van buitenaf. Door zes kwetsbaarheden zouden vijf miljard actieve toestellen risico lopen (via Help Net Security).
Het vervelende is dat een aanvaller je smartphone niet eens hoeft aan te raken, je moet laat toehappen via phishing of op je wifinetwerk zitten. Hij moet gewoon binnen de 10 tot 30 meter van jou zitten met zijn laptop. Dat konden onderzoekers van het CISPA Helmholtz Center for Information Security bevestigen na hun studie Protocol Prying: Systematic Vulnerability Research in the Apple AirDrop and Android Quick Share Proximity Transfer Protocols.
Problemen in AirDrop
De onderzoekers vonden drie kwetsbaarheden in Apples achterliggende dienst ‘sharingd’. Die ondersteunt niet alleen AirDrop maar ook functies zoals AirPlay, Handoff en Universal Clipboard. De zwakke plekken kunnen ertoe leiden dat deze dienst crasht, waardoor meerdere deelfuncties tijdelijk uitvallen. Een aanvaller kan dit herhaaldelijk doen en zo een soort denial-of-service-aanval veroorzaken. Op die manier kan het Apple-toestel onbruikbaar worden of kan de aanvaller het apparaat gijzelen. Er lijkt dus geen bewijs te zijn dat er gegevens kunnen verdwijnen.
Problemen in Quick Share
Bij Quick Share vonden de onderzoekers drie andere problemen. Twee daarvan maken het mogelijk om bepaalde onderdelen van het protocol te laten reageren voor de beveiligingscontroles volledig zijn afgerond. Daarnaast kwam in de Windows-versie van Quick Share een zogenaamde use-after-free-bug aan het licht. Dat is een vorm van geheugenfout die in theorie ernstig kan zijn. De onderzoekers konden een crash veroorzaken, maar hebben geen werkende exploit voor verdere compromittering aangetoond. Google heeft hiervoor inmiddels een fix uitgebracht.
Onderliggende oorzaak
Volgens de onderzoekers ligt de kern van het probleem in het feit dat deze diensten al complexe gegevens moeten verwerken voordat je als gebruiker je goedkeuring moet geven. Bovendien kunnen die gegevens komen van een onbekend apparaat. Daardoor ontstaat een relatief groot aanvalsoppervlak.
Gelukkig zijn al een aantal van deze kwetsbaarheden aangepakt. Apple heeft bijvoorbeeld bevestigd dat minstens één AirDrop-kwetsbaarheid al is opgelost en een CVE-nummer heeft gekregen, maar de details zijn nog niet openbaar. De andere zwakke plekken bij Apple worden momenteel bekeken.
Google heeft inmiddels een fix voor de Windows Quick Share-bug uitgebracht, maar die kreeg nog geen publieke CVE-score. De twee protocolproblemen worden nog onderzocht.
