CVE-2025-24132로 지정된 Apple CarPlay에 영향을 미치는 제로 클릭 취약점은 Apple이 수정 한 후 거의 반년 후 대부분의 차량에서 거의 방치되지 않은 상태로 남아 있습니다. Oligo Security의 연구원들은 2025 년 4 월 29 일에 버퍼 오버 플로우 취약성을 공개하여 CVSS 척도에서 “중간”심각도 점수 6.5를 할당했습니다. 이 취약점을 통해 공격자는 종종 사용자 상호 작용이나 인증없이 CarPlay 시스템을 제어 할 수 있습니다. 애플은 2025 년 3 월 31 일에 CarPlay AirPlay SDK의 취약성에 대한 패치를 발행했으며 Oligo Security와 공개를 조정했다. 패치의 가용성에도 불구하고, 2025 년 9 월 11 일 현재 상당수의 공급 업체와 자동차 제조업체가 수정 사항을 구현하지 않았습니다. CVE-2025-24132의 악용은 USB 연결을 통해 또는 인터넷을 통해 발생할 수 있습니다. 공격자는 취약한 시스템이 범위 내에 있고 차량의 네트워크 암호를 쉽게 추측 할 수있는 경우 이용할 수 있습니다. 또는 Bluetooth, 특히 “Just Works”Bluetooth 페어링을 사용하는 차량에서는 Bluetooth를 사용할 수 있으며, 이는 장치가 제한없이 페어링 할 수 있도록합니다. 일부 Bluetooth 구성에는 PIN이 필요할 수 있지만 많은 시스템은 그렇지 않으므로 많은 시나리오에서 익스플로잇이 제로 클릭됩니다. Oligo Security의 연구원 인 Uri Katz는 상당수의 시스템이 Bluetooth 페어링을 작동하며 많은 구형 및 타사 헤드 유닛이 기본 또는 예측 가능한 Wi-Fi 암호를 사용한다고 언급했습니다. 그는 이와 관련하여 최신 차량이 개선되고 있지만 레거시 시스템은 종종 최소한의 페어링 보호 기능으로 보안 위험을 초래한다고 덧붙였다. 이 공격은 Apple의 IAP2 프로토콜을 활용하여 모바일 장치와 차량 내 인포테인먼트 (IVI) 시스템 간의 세션을 설정합니다. IAP2 프로토콜은 외부 장치 만 인증합니다. 즉, IVI 시스템은 연결 장치의 진위를 확인하지 않습니다. 이를 통해 공격자는 iPhone으로 가장 무도회하고 네트워크 자격 증명을 얻고 합법적 인 Apple 장치 인 것처럼 차량에 명령을 발행 할 수 있습니다. 취약점은 AirPlay 소프트웨어 개발 키트 (SDK) 내 앱 종료와 관련이 있으며 루트 권한이있는 원격 코드 실행 (RCE)을 허용합니다. 이 수준의 액세스를 통해 공격자는 운전자의 위치를 스파이하거나, 대화를 도청하거나, 운전 중에주의를 산만하게 할 수 있습니다. 그러나 연구원들은 취약성이 차량 내 안전 크리티컬 시스템에 액세스하는 데 사용될 수 있는지 여부를 확인할 수 없었습니다. 연구원들이 강조한 주요 관심사는 자동차 산업의 패치가 느리게 채택된다는 것입니다. Apple이 3 월에 수정을 발표하고 4 월에 공개를 조정 했음에도 불구하고, 소수의 공급 업체만이 수정 사항을 구현했으며 자동차 제조업체는 아무도 없었습니다. 자동차 산업의 표준화 부족과 느린 업데이트주기는이 문제에 기여합니다. Katz는 밤새 업데이트하는 스마트 폰과 달리 많은 차량 내 시스템은 여전히 사용자 또는 대리점 방문의 수동 설치가 필요하다고 설명했습니다. 패치 된 SDK의 가용성에도 불구하고 자동차 제조업체는 플랫폼에서이를 적응, 테스트 및 검증해야하며 공급 업체 및 미들웨어 제공 업체와의 조정이 필요합니다. 그는 잠재적 인 솔루션으로 공급망에서 오버 공기 (OTA) 업데이트 파이프 라인과 더 부드러운 조정을 더 많이 채택 할 것을 제안합니다. Katz는 OTA 업데이트 기술이 존재한다고 강조하지만 자동차 산업의 조직 정렬은 따라 잡지 못했습니다. 이러한 조정 및 표준화 부족으로 인해 차량 시스템의 취약성을 신속하게 해결하고 패치하기가 어렵고 잠재적 인 공격에 노출됩니다.
