Исследователи из Oligo Security обнаружили в Apple CarPlay уязвимость, которая позволяет выполнить удалённый код с правами root и получить полный контроль над мультимедийным блоком автомобиля. Недочёт зарегистрирован как CVE-2025-24132 и затрагивает реализацию протокола AirPlay в CarPlay.
Уязвимость затрагивает AirPlay Audio SDK до версии 2.7.1, AirPlay Video SDK до версии 3.6.0.126 и CarPlay Communication Plug-in до R18.1 включительно. Проблема была продемонстрирована на конференции DefCon 33 в рамках доклада Pwn My Ride. Эксперимент показал, что злоумышленник может объединить использование Bluetooth и Wi-Fi, чтобы проникнуть в систему автомобиля без участия водителя.
В беспроводном CarPlay применяется связка протоколов: iAP2 через Bluetooth отвечает за установку сетевых параметров, а AirPlay по Wi-Fi используется для зеркалирования экрана iPhone. Исследователи выяснили, что для атаки достаточно радиомодуля Bluetooth, чтобы инициировать упрощённое сопряжение «Just Works». После этого атакующий получает SSID и пароль к скрытой Wi-Fi-сети CarPlay и может вызвать переполнение буфера в стеке AirPlay. Это даёт возможность выполнить код на уровне ядра.
Хотя Apple выпустила исправленные версии SDK ещё 29 апреля 2025 года, производители автомобильных мультимедийных устройств редко внедряют обновления быстро. Для большинства моделей обновление требует визита в сервисный центр или установки через USB-накопитель, что оставляет миллионы автомобилей уязвимыми даже спустя месяцы после публикации исправлений.
Авторы исследования не раскрыли все детали эксплуатации, чтобы дать время вендорам адаптировать обновления. Тем не менее они подтвердили успешное получение root-доступа в различных реализациях CarPlay. Особое внимание уделено беспроводному подключению: в отличие от проводного варианта, оно позволяет атаковать машину удалённо, достаточно уложиться в короткое «окно» обнаружения устройств при сопряжении.
Проблему усугубляет разрозненная цепочка поставок: производители автомобилей, поставщики головных устройств, разработчики промежуточного ПО и интеграторы послепродажных решений должны независимо обновить SDK, протестировать совместимость и распространить прошивки. Современные модели с поддержкой обновлений «по воздуху» могут получить исправления быстрее, но для большинства владельцев автомобилей риск сохранится надолго.
Специалисты рекомендуют компаниям, которые используют CarPlay во флотовых парках, проверить версии прошивок и установить жёсткие правила обновлений. Автопроизводителям и поставщикам оборудования необходимо ускорить интеграцию исправленных SDK и оптимизировать процесс валидации.