Hàng tỷ thiết bị Apple có nguy cơ bị tấn công bởi lỗ hổng bảo mật trong AirPlay

AirPlay là giao thức truyền phát không dây của Apple, cho phép người dùng truyền nội dung không dây từ thiết bị Apple như iPhone, iPad hoặc MacBook sang các thiết bị khác hỗ trợ AirPlay, chẳng hạn như: Apple TV, Smart TV, Loa hỗ trợ AirPlay,…

Những lỗ hổng bảo mật này ảnh hưởng đến Bộ phát triển phần mềm (SDK) AirPlay (AirPlay SDK), bộ công cụ được Apple cung cấp cho các đối tác phát triển phần cứng và có thể bị tin tặc lợi dụng để chiếm quyền kiểm soát thiết bị trong cùng một mạng Wi-Fi mà không cần tương tác từ người dùng.

Apple đã nhanh chóng phát hành các bản cập nhật vá lỗi cho thiết bị của hãng, đồng thời cung cấp bản sửa lỗi cho các nhà sản xuất bên thứ ba. Tuy nhiên, không phải tất cả các thiết bị đều được cập nhật kịp thời, một thực tế khiến hàng triệu thiết bị AirPlay, bao gồm cả những hệ thống giải trí trong ô tô sử dụng CarPlay, vẫn đang bị đe dọa.

Theo báo cáo, 23 lỗ hổng bảo mật nói trên đã được gán 17 mã định danh chung (CVE) và có thể dẫn đến hàng loạt kiểu tấn công nguy hiểm, từ thực thi mã từ xa không cần nhấp chuột (Zero-Click RCE), đọc tùy ý tệp nội bộ (Local Arbitrary File Read), đánh cắp dữ liệu cá nhân đến giả mạo và nghe lén các cuộc giao tiếp qua mạng. Tin tặc thậm chí có thể kết hợp các lỗ hổng này để kiểm soát hoàn toàn thiết bị nạn nhân.

Đáng chú ý, 2 trong số các lỗ hổng nghiêm trọng nhất là CVE-2025-24252 và CVE-2025-24132 có thể bị lợi dụng để tạo ra các cuộc tấn công dạng “sâu” (wormable), trong đó mã độc tự động lây lan qua mạng, làm gia tăng nguy cơ do thám và tống tiền.

Trong một thử nghiệm thực tế, Oligo Security đã trình diễn thành công một cuộc tấn công Zero-Click RCE trên macOS thông qua mã CVE-2025-24252 trong điều kiện mạng cụ thể.

Một lỗ hổng khác với mã CVE-2025-24271 cho phép thực thi mã với chỉ một cú nhấp chuột (One-Click RCE). Các thiết bị sử dụng SDK AirPlay, bao gồm cả loa thông minh và đầu thu AV, cũng dễ bị Zero-Click RCE (CVE-2025-24132), cho phép kẻ tấn công nghe lén âm thanh được truyền qua mạng.

CarPlay, hệ thống giải trí tích hợp trong xe hơi cũng không nằm ngoài nguy cơ. Theo Oligo Security, việc khai thác các lỗ hổng RCE trong CarPlay có thể làm gián đoạn hoạt động của người lái hoặc tạo điều kiện cho việc theo dõi hành vi di chuyển.

Thậm chí, kẻ tấn công còn có thể giả mạo thiết bị AirPlay trên mạng để chặn và ghi lại các luồng nội dung được truyền phát. Một kịch bản mà Oligo Security đưa ra là một chiếc TV bị khai thác có thể bị giả mạo danh tính, trở thành công cụ để ghi lại một cuộc họp trực tuyến đang được truyền qua AirPlay.

Báo cáo kỹ thuật chi tiết của Oligo Security được công bố ngày 29/4/2025, kêu gọi người dùng và doanh nghiệp nhanh chóng cập nhật phần mềm cho tất cả thiết bị có hỗ trợ AirPlay, kể cả của Apple và bên thứ ba.

Ngoài ra, công ty cũng khuyến nghị người dùng nên tắt AirPlay khi không sử dụng và giới hạn quyền truy cập vào AirPlay trong mạng nội bộ để giảm thiểu nguy cơ bị tấn công.

Chuyên gia cảnh báo mối đe dọa kéo dài và đưa ra khuyến cáo cho người dùng

Trao đổi với trang Hackread.com, ông Karolis Arbaciauskas – chuyên gia an ninh mạng của công ty công nghệ Nord Security (Lithuania) cảnh báo rằng, mối đe dọa từ lỗ hổng AirBorne có thể sẽ kéo dài, đặc biệt là trên các thiết bị AirPlay do bên thứ ba sản xuất.

“Không giống như thiết bị Apple chính hãng được cập nhật bảo mật nhanh chóng, nhiều sản phẩm từ các bên thứ ba thường không nhận được bản vá kịp thời, hoặc thậm chí bị nhà sản xuất bỏ rơi. Điều này khiến các lỗ hổng có thể tồn tại âm thầm trong thời gian dài”, ông Karolis Arbaciauskas nhận định.

Karolis cũng lưu ý rằng, để khai thác các lỗ hổng này, tin tặc cần có quyền truy cập vào cùng mạng Wi-Fi với nạn nhân. Do đó, bảo mật bộ định tuyến Wi-Fi (router) là yếu tố then chốt.

“Hãy luôn cập nhật firmware cho router của bạn và sử dụng mật khẩu mạnh để ngăn kẻ xấu xâm nhập”, ông khuyến nghị. “Mật khẩu mặc định từ nhà sản xuất thường rất yếu và dễ bị dò ra. Người dùng nên thay đổi chúng ngay khi thiết lập thiết bị”.

Ông cũng đưa ra lời khuyên cụ thể về cách tạo mật khẩu mạnh: “Một mật khẩu hiệu quả nên có ít nhất 8 ký tự, bao gồm chữ cái, số và ký hiệu đặc biệt. Nếu việc nhớ quá nhiều mật khẩu là trở ngại, bạn nên sử dụng trình quản lý mật khẩu để đơn giản hóa mọi thứ”.

Cuối cùng, Karolis nhấn mạnh rằng người dùng nên tránh sử dụng AirPlay trên các mạng Wi-Fi công cộng, vốn nổi tiếng là thiếu an toàn. “Nếu bắt buộc phải chia sẻ nội dung không dây, hãy ưu tiên sử dụng điểm phát sóng riêng từ điện thoại hoặc ít nhất là tránh xa các mạng Wi-Fi mở, và sử dụng VPN để tăng cường bảo mật”.