Pesquisadores do CISPA Helmholtz Center for Information Security identificaram vulnerabilidades críticas nos sistemas de compartilhamento de arquivos AirDrop, da Apple, e Quick Share, usados pelo Google e pela Samsung. Segundo o estudo, as brechas podem afetar mais de cinco bilhões de dispositivos e ser exploradas por um invasor a até 30 metros de distância usando apenas um notebook, sem necessidade de que a vítima clique em links, esteja na mesma rede Wi‑Fi ou tenha contato físico com o atacante.

O problema, de acordo com os especialistas, está na forma como os recursos foram implementados: ambos ativam automaticamente serviços em segundo plano ao detectar um dispositivo compatível nas proximidades. Esses serviços processam dados recebidos antes de confirmar a identidade do remetente ou solicitar autorização do usuário, abrindo espaço para exploração antes da autenticação.

As empresas já começaram a corrigir as falhas. A Apple liberou uma atualização que resolve uma das três vulnerabilidades encontradas no AirDrop. O Google corrigiu um erro de memória (use-after-free) no Quick Share para Windows e recompensou os pesquisadores pela descoberta. Os casos envolvendo a Samsung seguem sob investigação, e outras falhas estão sendo tratadas por meio de divulgação coordenada para evitar a exposição de detalhes técnicos até que atualizações estejam disponíveis.

Quais vulnerabilidades foram encontradas?

No total, os pesquisadores reportaram seis falhas distribuídas entre AirDrop e Quick Share. No ecossistema da Apple foram identificadas três falhas distintas. Uma delas atinge o serviço sharingd, que também responde por AirPlay, Handoff, Área de Transferência Universal e Câmera de Continuidade: uma solicitação malformada pode travar esse serviço e, se repetida, deixar esses recursos indisponíveis.

Outra falha está no sistema que processa arquivos XML, que não lida corretamente com dados encadeados. Sem um limite de segurança para interromper o processamento, um arquivo com muitas camadas pode sobrecarregar a memória e causar travamentos. Esse problema afeta iOS, macOS, watchOS, tvOS e visionOS.

A terceira vulnerabilidade no AirDrop envolve o analisador HTTP do sistema, em que cabeçalhos malformados podem provocar uma condição de null pointer dereference, gerando instabilidade no processamento.

Imagem: André Magalhães/Canaltech

No Quick Share foram encontradas falhas que permitem burlar etapas de autenticação em aparelhos Samsung, porque o sistema processa dados logo após o pedido inicial de conexão, antes da conclusão da troca de chaves UKEY2. O recurso também chega a processar quadros de dados sem criptografia, possibilitando que um invasor mantenha conexão ativa. Além disso, foi identificado um erro de memória (use-after-free) no aplicativo do Google para Windows. Essas brechas não permitem, segundo os pesquisadores, o roubo direto de arquivos, mas podem travar transferências, afetar funções do sistema e deixar o dispositivo instável.

Como reduzir riscos

Para minimizar conexões indesejadas, recomenda-se limitar o recebimento de arquivos apenas a contatos ou desativar o compartilhamento quando não estiver em uso. No iPhone e outros dispositivos Apple: abra Ajustes > Geral > AirDrop e selecione “Apenas Contatos” ou “Recepção Inativa”. No Android, abra o painel de configurações rápidas, toque e segure o ícone do Quick Share e em “Quem pode compartilhar com você” escolha “Apenas contatos” ou “Ninguém”.





As correções pelas fabricantes e a divulgação coordenada buscam reduzir o risco até que todas as atualizações necessárias sejam distribuídas aos usuários.

Com informações de Canaltech