Apple’ın CarPlay ekosistemindeki yeni açıklanan bir güvenlik açığı, kök ayrıcalıklarıyla uzaktan kod yürütülmesini sağlar ve bağlı araçlar için ciddi bir risk oluşturur.
Oligo Güvenlik Araştırma Ekibi tarafından keşfedilen ve CVE-2025-24132 olarak izlenen kusur, CarPlay Systems tarafından kullanılan Airplay protokolü uygulamasında bulunur.
| CVE kimliği | Etkilenen bileşenler | Etkilenen sürümler |
| CVE-2025-24132 | Airplay Audio SDK | <2.7.1 |
| Airplay Video SDK | <3.6.0.126 | |
| Carplay iletişim eklentisi |
Araştırmacılar, PWN My Ride Talk sırasında DEFCON 33’teki bulgularını sundular ve saldırganların herhangi bir kullanıcı etkileşimi olmadan araç içi multimedya birimlerini tehlikeye atmak için Bluetooth ve Wi-Fi protokollerini nasıl zincirleyebileceğini gösterdi.
Kablosuz Carplay iki katmanlı protokol kullanır: ağ kimlik bilgilerini müzakere etmek için Bluetooth üzerinden IAP2 ve iPhone ekranını yansıtmak için Wi-Fi üzerinden airplay.
Bir saldırganın, bir iPhone’u taklit etmek için “Just Works” eşleştirmesi – varsayılan olarak birçok kafa ünitesinde etkinleştirilen – gerçekleştirme için sadece uyumlu bir Bluetooth radyosu vardır.
Saldırgan eşleştirildikten sonra, Carplay cihazının SSID ve şifresini ister, özel Wi-Fi ağına bağlanır ve savunmasız SDK sürümlerindeki Airplay yığın arabelleği taşmasını tetikler. Bu zincir, sistemin en yüksek ayrıcalık seviyesinde uzaktan kod yürütülmesini sağlar.
Güvenlik açığı:
- 2.7.1’den önce Airplay Audio SDK sürümleri
- Airplay Video SDK sürümlerinden önce 3,6.0.126
- R18.1 ve R18.1’in kendisinden önce Carplay iletişim eklentisi sürümleri
Apple, 29 Nisan 2025’te yamalı SDK’ları piyasaya sürse de, çoğu otomotiv başlık birim satıcısı henüz bu düzeltmeleri entegre etmedi.
Araç ürün yazılımı güncelleme döngüleri, genellikle bayilik müdahalesi veya USB kurulumları gerektiren kötü şöhretli bir şekilde yavaştır. Sonuç olarak, bir yama olduktan çok sonra milyonlarca araç maruz kalmaya devam ediyor.
Araştırmacılar, satıcıların iyileştirilmesine daha fazla zaman ayırmasını sağlamak için ayrıntıları kullandılar. Kafa ünitesi üzerinde kök düzey kontrolü sağlayarak birden fazla Carplay uygulamasında başarılı bir sömürü gösterdiler.
Ekip, Wired CarPlay’in fiziksel erişim gerektirse de, cihazlar varsayılan olarak keşfedilemediğinde bile kablosuz Carplay’ın savunmasız olduğunu vurguladı – bir saldırganın keşfedilebilir kısa bir pencere sırasında eşleştirilmesi gerekiyor.
Uzun maruz kalma kuyruğu parçalanmış yazılım tedarik zincirleri tarafından daha da kötüleşir. Araç üreticileri, baş birim tedarikçileri, ara katman yazılımı sağlayıcıları ve satış sonrası entegratörlerin her biri yamalı SDK’ları benimsemeli, uyumluluk test etmeli ve güncellemeleri dağıtmalıdır.
Havadaki güncelleme desteğine sahip üst düzey modeller hızla yamalar alabilir, ancak birçok model geride kalacak ve sürücüleri yama serbest bırakmasından aylar hatta yıllar sonra uzaktan devralma risklerine maruz bırakacaktır.
CarPlay’e güvenen kuruluşlar derhal baş birim ürün yazılımı sürümlerini denetlemeli ve bir güncelleme politikasını uygulamalıdır.
Otomobil üreticileri ve tedarikçiler, yamalı SDK’ların entegrasyonuna öncelik vermeleri ve doğrulama süreçlerini kolaylaştırmaları istenir.
Bu hikayeyi ilginç bul! Daha fazla güncelleme almak için bizi LinkedIn ve X’te takip edin.