AirDrop und Quick Share: Sechs kritische Lücken gefährden fünf Milliarden Geräte

Forscher des CISPA Helmholtz-Zentrums für Informationssicherheit haben sechs bisher unbekannte Sicherheitslücken in den beliebten Dateifreigabe-Protokollen AirDrop und Quick Share aufgespürt. Die Schwachstellen könnten weltweit mehr als fünf Milliarden Geräte betreffen.

Die am 25. Juni 2026 veröffentlichten Ergebnisse der Forscher Arash Ale Ebrahim und Nils Ole Tippenhauer zeigen gravierende Mängel in Apples AirDrop sowie dem von Google und Samsung genutzten Quick Share-Dienst. Besonders brisant: Angreifer in einem Umkreis von 30 Metern könnten die Protokolle für sogenannte Zero-Click-Angriffe nutzen.

Technische Details der Schwachstellen

Das Forschungsteam entwickelte einen speziellen Fuzzer namens AIRFUZZ, um erstmals eine plattformübergreifende Analyse der AirDrop- und Quick-Share-Protokolle durchzuführen. Dabei stießen sie auf drei Schwachstellen in AirDrop, die vor allem macOS- und iOS-Geräte betreffen.

Die identifizierten Lücken umfassen einen Denial-of-Service-Angriff (DoS) durch einen Swift-Fehler, eine unbegrenzte XML-Plist-Rekursion sowie einen NULL-Pointer-Fehler im HTTP-Parser. Diese Schwachstellen können den Dienst „sharingd“ zum Absturz bringen – ein zentraler Prozess, der nicht nur AirDrop, sondern auch AirPlay und Handoff steuert.

Ob im Büro oder unterwegs – die Nutzung mobiler Dateifreigaben birgt oft unterschätzte Risiken für die Unternehmenssicherheit. Dieser kostenlose Ratgeber zeigt Ihnen, wie Sie mobiles Arbeiten und Home-Office-Szenarien effektiv absichern. Sicherheits-Leitfaden für mobiles Arbeiten jetzt kostenlos herunterladen

Experten bewerten die AirDrop-Lücken als „Absturzauslöser“, die zwar keine vollständige Speicherkontrolle ermöglichen, aber ein erhebliches Stabilitätsrisiko für das Apple-Ökosystem darstellen.

Sicherheitslücken bei Samsung und Google

Die CISPA-Studie entdeckte zudem drei Schwachstellen im Quick-Share-Ökosystem. Zwei davon betreffen Samsungs Implementierung: ein Pre-Authentication-Problem mit OfflineFrame sowie eine Umgehung der Geräte-zu-Geräte-Verschlüsselung. Diese Fehler könnten es ermöglichen, bestimmte Datenpakete unverschlüsselt zu versenden, bevor eine sichere Verbindung aufgebaut wird.

Die sechste Schwachstelle fand das Team in Googles Quick-Share-Anwendung für Windows. Es handelt sich um einen Heap-Use-after-Free-Fehler, für den Google eine Bug-Bounty-Prämie zahlte.

Immer neue Sicherheitslücken in gängigen Protokollen machen deutlich, wie verwundbar moderne IT-Infrastrukturen gegenüber gezielten Angriffen sind. Experten erklären in diesem kostenlosen E-Book, wie Sie Sicherheitslücken proaktiv schließen und Ihr Unternehmen vor aktuellen Cyberbedrohungen schützen. Gratis-E-Book zur Cyber-Security hier sichern

Reaktionen der Hersteller und Schutzmaßnahmen

Apple hat am 29. Juni 2026 einen Patch für mindestens eine der identifizierten Lücken veröffentlicht. Google hat den Fehler in seiner Windows-Anwendung behoben, während Samsung die beiden Bugs in seiner Quick-Share-Implementierung noch untersucht.

Stand Anfang Juli 2026 waren vier der sechs Schwachstellen noch nicht vollständig auf allen betroffenen Plattformen geschlossen. Sicherheitsexperten empfehlen Nutzern daher, die Sichtbarkeitseinstellungen ihrer Geräte anzupassen. Wer AirDrop oder Quick Share auf „Nur Kontakte“ stellt oder den Dienst bei Nichtgebrauch komplett deaktiviert, schützt sich vor unbefugten Verbindungsversuchen.

Die Entdeckung kommt zu einem Zeitpunkt, an dem die Interoperabilität der Dienste zunimmt. Google arbeitet daran, Quick Share ab der Pixel-10-Serie mit Apples AirDrop kompatibel zu machen – eine Funktion, die derzeit nur in speziellen Nutzermodi verfügbar ist.

de | wissenschaft | 69701363 |