Explorando la Vulnerabilidad AirBorne: Ejecución Remota de Código en el Protocolo AirPlay de Apple

En el mundo actual, donde los dispositivos inteligentes y la conectividad inalámbrica son piedra angular de la experiencia tecnológica, la seguridad informática cobra una importancia vital. Apple, siendo una de las marcas más influyentes y utilizadas globalmente, mantiene un ecosistema robusto con tecnologías innovadoras como AirPlay. Sin embargo, ninguna plataforma está exenta de vulnerabilidades. Recientemente, se han descubierto y desarrollado pruebas de concepto (PoC) para dos vulnerabilidades críticas en el protocolo AirPlay, conocidas como CVE-2025-24132 y CVE-2025-24252, que podrían permitir la ejecución remota de código (RCE) en dispositivos Apple. Estas fallas resaltan la importancia de la investigación continua en seguridad y la necesidad de mantenerse informado sobre posibles vectores de ataque en redes domésticas y empresariales.

Ambas vulnerabilidades tienen su origen en el modo en que Apple procesa datos en red, específicamente en los servicios Bonjour/mDNS y el flujo de emparejamiento TCP de AirPlay. La primera, CVE-2025-24252, se basa en un fallo en el manejo de registros TXT malformados en mDNS, lo que puede derivar en un crash o caída del receptor de AirPlay. La segunda, CVE-2025-24132, es un overflow de heap que ocurre al enviar paquetes malformados durante el proceso de emparejamiento AirPlay a través del puerto TCP 7000. Esta última vulnerabilidad tiene un impacto más grave ya que con ella es posible, bajo ciertas condiciones, alcanzar una ejecución remota de código, especialmente en dispositivos con jailbreak o sin parchear. Para entender a fondo estas vulnerabilidades, es esencial conocer el contexto técnico de cómo funcionan Bonjour y AirPlay.

Bonjour es el servicio utilizado para la detección automática de dispositivos y servicios en una red local mediante mDNS (Multicast DNS). AirPlay usa estos servicios para encontrar y emparejar dispositivos, posibilitando la transmisión inalámbrica de audio y video. El proceso de emparejamiento involucra la comunicación de solicitudes TCP a través del puerto 7000, donde una manipulación incorrecta o maliciosa de los paquetes puede dar pie a fallas en el manejo de memoria del dispositivo receptor. Los investigadores de Oligo Security fueron quienes descubrieron y detallaron estas fallas, publicando Puestos de Concepto que permiten reproducir las condiciones necesarias para explotar estas vulnerabilidades. Para llevar a cabo estas pruebas es recomendable usar una distribución Linux como Kali, que cuenta con las herramientas necesarias para análisis y explotación de redes.

Configurar el entorno para las pruebas incluye actualizar el sistema, instalar paquetes esenciales como python3-scapy para manipulación de paquetes y avahi-daemon para soportar mDNS. Además, el uso de un adaptador Wi-Fi con soporte para modo monitor es indispensable para interceptar y enviar tráfico específico multicast en la red local. Cambiar el adaptador para operar en este modo realiza una captura efectiva del flujo de datos que los dispositivos Apple emiten y reciben. El repositorio público en GitHub proporciona varios scripts de prueba enfocados en cada vulnerabilidad. Por ejemplo, para CVE-2025-24252 se emplea un script que genera registros TXT malformados, enviados a través de la red para provocar caídas en AirPlayReceiver.

Para CVE-2025-24132, los scripts son un poco más avanzados y permiten no solo generar la falla sino también simular una cadena de explotación que desemboca en la ejecución remota de comandos a través de un payload insertado en formato plist XML que se puede ejecutar en dispositivos vulnerables. Un aspecto clave para aprovechar la vulnerabilidad CVE-2025-24132 es tener control sobre el puerto TCP 7000, permitiendo enviar paquetes específicos que desencadenan un desbordamiento de memoria heap durante el emparejamiento. Los atacantes pueden usar esta técnica para enviar un comando malicioso, que en dispositivos desbloqueados o sin parche pueden ejecutarse directamente. La simulación incluye la inyección de un payload con comando reverse shell usando launchctl, un mecanismo de Apple para gestionar servicios y procesos en segundo plano, lo que otorga persistencia y control remoto sobre el dispositivo comprometido. Para facilitar la explotación en un entorno real se ha desarrollado un script conocido como chain_exploit.

py, que automatiza el proceso desde el escaneo de dispositivos vulnerables mediante mDNS hasta el ataque sobre el puerto del emparejamiento. Este enfoque representa un vector de ataque multidimensional donde un atacante en la misma red Wi-Fi puede descubrir, seleccionar, atacar y comprometer Apple TV u otros dispositivos AirPlay conectados sin necesidad de interacciones complejas con el usuario final. La ejecución de estos scripts requiere permisos elevados y configuración detallada de la interfaz de red, así como herramientas adicionales como netcat para escuchar conexiones entrantes y verificar la conexión reversa conseguida tras el exploit. Esta combinación técnica demuestra que, aunque la explotación no es trivial y requiere condiciones específicas, la amenaza es tangible para entornos no seguros o dispositivos sin actualizaciones recientes. Ante la aparición de estas vulnerabilidades, es vital que usuarios y administradores tomen medidas para proteger sus dispositivos.

La actualización inmediata de firmware y software Apple es la primera línea de defensa, ya que las empresas tecnológicas como Apple suelen lanzar parches para corregir estos fallos una vez reportados. Además, limitar el acceso a la red local, configurar VLANs separadas para dispositivos multimedia y restringir el uso innecesario de servicios de descubrimiento como Bonjour reduce la superficie de ataque. Es importante entender que estas pruebas de concepto están destinadas para ambientes controlados y con fines educativos y de investigación. Usarlas en redes o dispositivos sin consentimiento legal puede derivar en consecuencias judiciales y violaciones a la privacidad. La ética profesional en ciberseguridad exige responsabilidad y respeto hacia la propiedad digital y los derechos de los usuarios.

En conclusión, las PoC para AirBorne representan un caso paradigmático del desafío que presenta la seguridad en los dispositivos IoT y multimedia en redes domésticas y empresariales. Analizar, comprender y probar estas vulnerabilidades es esencial para anticiparse a ataques reales que podrían comprometer la integridad y privacidad de los usuarios. La batalla constante entre investigadores y atacantes redefine la manera en que se diseñan y aseguran los protocolos como AirPlay, recordando a la comunidad tecnológica que la seguridad es una labor continua y colaborativa.