Six failles, trois plateformes, un même point faible : ce moment où votre téléphone accepte un fichier sans trop poser de questions. Des chercheurs du CISPA Helmholtz Center for Information Security ont détaillé des vulnérabilités dans AirDrop d’Apple et dans Quick Share de Google et Samsung. Au menu : du déni de service local, un contournement de session sur Samsung et un bug mémoire déjà corrigé côté Windows.
Points clés
- Six vulnérabilités révélées par le CISPA touchent AirDrop (Apple) et Quick Share (Google, Samsung).
- Trois failles AirDrop provoquent des crashs locaux affectant AirDrop, AirPlay, Handoff et la Continuité.
- Deux failles logiques sur Samsung contournent l’authentification UKEY2 ; un use-after-free affecte Quick Share pour Windows.
- Divulgation coordonnée : correctifs partiels en cours, toutes les références CVE n’étaient pas publiées fin juin 2026.
Trois failles dans AirDrop, le crash facile
L’étude, publiée en juin 2026, recense six vulnérabilités. Trois visent AirDrop sur macOS et iOS. Les chercheurs décrivent un bug lié à une fatalError dans le routage HTTP interne, un autre dans le parseur de listes de propriétés XML de Foundation, et un troisième dans le parseur HTTP de Network.framework.
Dans les trois cas, le résultat est le même : un crash local. Le premier fait tomber d’un coup plusieurs services de la Continuité d’Apple, dont AirDrop, AirPlay, Handoff, Universal Clipboard et Continuity Camera. Le deuxième provoque un dépassement de pile après l’analyse d’un document XML trop imbriqué. Le troisième s’appuie sur des en-têtes HTTP malformés qui corrompent le parseur. Rien qui prenne le contrôle de la machine, mais de quoi semer la pagaille dans l’écosystème pommé.
Ces failles ont été remontées à Apple dans le cadre d’une divulgation coordonnée. L’une des vulnérabilités AirDrop a déjà reçu un correctif et un identifiant CVE, mais l’avis de sécurité public n’était pas encore en ligne à la rédaction du papier. Les deux autres restaient sous embargo.
Quick Share : deux contournements sur Samsung, un bug mémoire dans Windows
La seconde moitié du lot concerne Quick Share. Sur Samsung, les chercheurs ont trouvé deux failles logiques dans la couche protocolaire de Nearby Connections. La première autorise le traitement de trames applicatives avant la fin de l’échange UKEY2 censé verrouiller l’authentification. La seconde laisse passer plusieurs types de trames après l’échange de clés, même envoyées en clair. L’authentification fait donc office de portier qui s’endort avant la fermeture.
Concrètement, un attaquant à proximité (même réseau local ou à portée radio selon le scénario) peut pousser une session dans un état accepté et continuer à interagir avec le service sans passer par toutes les vérifications attendues. Les chercheurs disent avoir reproduit le comportement sur une implémentation Samsung.
Le sixième défaut vise Google Quick Share pour Windows. Il s’agit d’un use-after-free, soit l’accès à un objet déjà libéré en mémoire, lors d’une collision entre deux connexions visant le même identifiant d’extrémité et le même nonce. Un correctif a depuis été intégré dans la base Windows affectée, et Google a versé une prime via son programme de récompense.
Divulgation coordonnée et correctifs en cours
Les six failles ont été divulguées de manière responsable à Apple Product Security, Samsung Mobile Security et au Google Vulnerability Reward Program. Samsung a transmis les deux problèmes protocolaires à Google pour traitement, tandis que le bug Windows a déjà donné lieu à un correctif côté codebase.
La chronologie reste mouvante. Fin juin 2026, Apple n’avait pas encore publié toutes les références CVE, les deux problèmes Samsung étaient toujours en examen chez Google, et le correctif Windows avait été livré sans assignation publique de CVE. Le bon réflexe en attendant : garder ses appareils à jour, et ne pas laisser le partage de proximité ouvert à tout vent.
