Исследователи из Oligo Security сообщили о критической уязвимости в Apple CarPlay, которая позволяет злоумышленнику удалённо выполнить код с правами root и полностью перехватить управление мультимедийным блоком автомобиля. Ошибка получила идентификатор CVE-2025-24132 и связана с реализацией протокола AirPlay в CarPlay.
Подвержены атаке:
AirPlay Audio SDK версий ниже 2.7.1,
AirPlay Video SDK до 3.6.0.126,
CarPlay Communication Plug-in вплоть до R18.1.
Уязвимость впервые показали на конференции DefCon 33 в докладе Pwn My Ride. В демонстрации исследователи объединили Bluetooth и Wi-Fi для взлома CarPlay без участия водителя.
Механизм атаки выглядит так:
Через Bluetooth запускается упрощённое сопряжение Just Works.
После этого злоумышленник получает данные скрытой Wi-Fi-сети CarPlay (SSID и пароль).
Используя эти данные, он инициирует переполнение буфера в стеке AirPlay и добивается исполнения кода на уровне ядра.
Главная опасность в том, что в случае беспроводного CarPlay атаке достаточно радиомодуля Bluetooth — проводное подключение таких рисков не несёт.
Хотя Apple выпустила обновления SDK ещё 29 апреля 2025 года, проблема всё ещё актуальна: автопроизводители и поставщики мультимедийных систем внедряют патчи крайне медленно. В большинстве случаев для обновления требуется сервисный визит или установка прошивки вручную с USB, поэтому миллионы автомобилей остаются уязвимыми даже спустя месяцы после релиза исправлений.
Ситуацию осложняет сложная цепочка поставок: производители машин, разработчики головных устройств и интеграторы должны независимо внедрить обновления, протестировать их и развернуть на устройствах. Быстрее всего закрыть дыру смогут только современные модели с поддержкой OTA-обновлений.
Эксперты советуют автопаркам и корпоративным пользователям CarPlay проверить версии прошивок и внедрить строгую политику обновлений. Автопроизводителям же рекомендуется ускорить интеграцию исправленных SDK и оптимизировать процесс тестирования.