Dos investigadores descubrieron seis fallos de seguridad en AirDrop y Quick Share que permiten provocar caídas del sistema o saltar verificaciones de sesión. Los ataques requieren proximidad física, afectando a dispositivos Apple y Android mediante solicitudes malformadas o errores de memoria. Google y Apple ya han comenzado a implementar parches para mitigar estos riesgos.

Dos investigadores han encontrado seis fallos de seguridad en AirDrop y Quick Share, las funciones inalámbricas que envían archivos entre dispositivos cercanos sin cables ni red compartida.

Un atacante dentro del alcance inalámbrico, solo con un portátil y sin conexión previa, puede provocar la caída del servicio de compartido en un Mac o iPhone configurado para recibir de cualquier persona, sin necesidad de tocar nada ni recibir avisos.

La misma investigación encontró fallos en Quick Share que eluden las comprobaciones de sesión de Samsung y provocan un bloqueo potencialmente explotable en la aplicación de Windows de Google.

Ambas funciones operan dentro de un ecosistema de más de cinco mil millones de dispositivos Apple y Android activos, aunque los errores probados afectan a implementaciones y versiones específicas.

El trabajo, detallado en un nuevo artículo de investigación de Arash Ale Ebrahim y Nils Ole Tippenhauer del Centro CISPA Helmholtz de Seguridad de la Información, es el primero en analizar ambas estructuras lado a lado, por encima de la capa de radio, donde el descubrimiento se convierte en gestión de sesiones, análisis y decisiones de confianza.

Las correcciones ya han comenzado. Apple ha parcheado uno de los tres errores de AirDrop y le ha asignado un CVE, aunque el aviso aún no es público; los otros dos siguen en proceso de divulgación coordinada. Google pagó una recompensa por el fallo de Windows y ha implementado una corrección de código, con su CVE aún pendiente.

Los dos errores de Samsung fueron entregados a Google y siguen bajo investigación. Hasta el momento de escribir esto, no han surgido informes públicos de que estos fallos hayan sido explotados.

Tres formas de dejar fuera de combate el compartido de Apple

Los tres fallos de AirDrop terminan en el mismo bloqueo: tiran abajo sharingd, el servicio en segundo plano de macOS e iOS que gestiona AirDrop. El problema es que este servicio también ejecuta AirPlay, Handoff, Portapapeles Universal, Cámara de Continuidad y NameDrop, por lo que un solo fallo derriba todo el conjunto.

La más sencilla de las tres requiere solo una única solicitud malformada enviada a un dispositivo con AirDrop configurado para recibir de "Todos". Si envías esos mensajes de bloqueo en bucle, aproximadamente uno cada dos segundos, las funciones permanecerán inactivas mientras el atacante continúe. En la prueba de los investigadores, ninguna transferencia legítima de AirDrop logró completarse mientras el ataque estaba activo.

Dos de los tres son más que simples errores de AirDrop, ya que residen en marcos de trabajo compartidos de Apple. El más amplio es un desbordamiento de pila en el analizador de listas de propiedades XML de Foundation, provocado por un archivo pequeño con alrededor de 200 capas anidadas.

Cualquier aplicación de Apple que abra un archivo no confiable de ese tipo podría verse afectada por la misma ruta del analizador, ya sea en macOS, iOS, watchOS, tvOS y visionOS. Los investigadores reprodujeron los bloqueos de AirDrop en macOS 15.7.4, macOS 26.3, iOS 18.x e iOS 26.3; una versión antigua de iOS 16 no se vio afectada.

Los errores de Quick Share y una corrección que falló

En Android, dos fallos en Quick Share de Samsung permiten que un atacante se salte el saludo (handshake) que debería bloquear una sesión. Uno permite que un dispositivo no verificado empiece a dirigir la conexión antes de que se establezca cualquier cifrado.

El otro permite que algunos mensajes de control pasen sin cifrar incluso después de que exista una sesión segura. Un atacante en la misma red Wi-Fi podría usar ese hueco para forzar una conexión a un estado "aceptado", mantenerla viva o hacer que el servidor devuelva valores de IP y puerto suministrados por el atacante. No se demostró que pudieran robar archivos, pero ambos anulan las protecciones que el sistema promete.

Los investigadores probaron esto en un Galaxy S23 Ultra y señalaron que las versiones de Quick Share de otros fabricantes de Android necesitan comprobaciones independientes.

El fallo más grave está en Quick Share de Google para Windows. Es un error de memoria que surge cuando dos conexiones colisionan en el instante preciso, dejando que el programa use un fragmento de memoria que ya ha descartado.

Este es el tipo de error que a veces puede convertirse en la ejecución de código del atacante, y los investigadores dicen que la ruta es plausible aquí porque una defensa de Windows llamada Control Flow Guard está desactivada en la aplicación.

Confirmaron un bloqueo pero no crearon un exploit funcional. Google lo reconoció, pagó una recompensa y ya ha lanzado una corrección; el CVE sigue pendiente.

No es la primera vez que Quick Share para Windows pasa por esto. SafeBreach informó de una cadena de ejecución de código de 10 errores en 2024, y luego regresó en 2025 para eludir las correcciones de Google. El nuevo error de "uso después de liberar" añade otra entrada a un patrón donde el mismo componente es parcheado y vuelto a analizar.

El detalle más doloroso: el propio código fuente del programa llevaba un comentario admitiendo un error previo en ese lugar exacto, que decía: "Tuvimos un error aquí, causado por una carrera con EncryptionRunner". La corrección escrita para solucionarlo reintrodujo el mismo tipo de fallo.

El riesgo es local, no remoto

El límite clave es el alcance. Estos son ataques locales, no globales a través de internet: el atacante tiene que estar a unos 10 o 30 metros o en la misma red local.

Aunque es menos generalizado que un error remoto, un solo atacante en un lugar concurrido como un aeropuerto, tren o conferencia aún puede alcanzar muchos dispositivos a la vez. Los investigadores probaron solo su propio hardware y han publicado sus herramientas abiertamente para que otros equipos de seguridad puedan reproducir los hallazgos.

En un Mac o iPhone, instala la última actualización de Apple (iOS y macOS 26.5.2 lanzados el 29 de junio) y mantén AirDrop en "Solo contactos" o desactivado en lugar de "Todos", que es la configuración que necesitan estos fallos. En Quick Share, evita la visibilidad para "Todos" cuando no estés recibiendo un archivo activamente, y actualiza la aplicación de Windows ahora que la corrección de Google ya está disponible.

Dos sistemas construidos independientemente fallaron de la misma manera: bloqueos en el código que se enfrenta a la red y comprobaciones de seguridad añadidas a manejadores de mensajes individuales en lugar de aplicarse desde el principio. Además, ocurre en un momento incómodo.

La interoperabilidad de AirDrop de Google para Quick Share ya se está implementando en los teléfonos Android insignia, y solo funciona cuando el iPhone está configurado para recibir de "Todos", exactamente la configuración que expone los errores de bloqueo de AirDrop.

Fuente:
THN