Apple 경고: 심각한 AirPlay 취약점으로 수백만 명이 사이버 위협에 노출됨

2025년 5월 15일 | 조언하는, 블로그

사이버 보안 회사인 Oligo Security가 최근 애플의 AirPlay 프로토콜 및 SDK에서 일련의 심각한 취약점 (총칭하여 "AirBorne")을 발견했습니다. 이러한 결함은 iPhone, iPad, Mac, Apple TV는 물론 스마트 스피커, TV, CarPlay 시스템과 같은 수많은 타사 기기에 상당한 위험을 초래합니다.

위협 이해

AirBorne 취약점에는 여러 가지 심각한 보안 문제가 포함됩니다.

제로클릭 원격 코드 실행(RCE): 공격자는 사용자와의 상호 작용 없이 특정 결함을 악용하여 원격으로 악성 코드를 실행할 수 있습니다.
웜 공격 가능: 두 가지 특정 취약점은 다음과 같이 식별됩니다. CVE-2025-24252 CVE-2025-24132, 악성 소프트웨어가 동일한 네트워크의 여러 기기에 전파되어 광범위한 감염으로 이어질 가능성이 있습니다.
접근 제어 우회: 다음과 같은 결함 CVE-2025-24206 공격자가 사용자 동의 메커니즘을 우회하여 장치에 대한 무단 액세스를 용이하게 할 수 있습니다.
서비스 거부 (DoS): 공격자는 AirPlay 서비스를 반복적으로 중단시켜 정상적인 기기 기능을 방해할 수 있습니다.
민감한 데이터 노출: 이러한 취약점을 악용하면 공격자가 로컬 파일과 중요 정보에 접근할 수 있습니다.

이러한 취약점은 로컬 Wi-Fi 네트워크나 P2P 연결을 통해 악용될 수 있기 때문에 우려스럽고, 직접 인터넷에 노출되지 않은 상태에서도 장치가 취약해질 수 있습니다.

실제 영향

성공적인 악용을 통해 악의적인 행위자는 다음을 수행할 수 있습니다.

스마트 스피커를 해킹하여 승인되지 않은 오디오를 재생하거나 대화를 녹음합니다.
특히 차량의 Wi-Fi가 기본 비밀번호나 취약한 비밀번호를 사용하는 경우, CarPlay 시스템을 조작하여 원치 않는 이미지를 표시하거나 차량 위치를 추적합니다.
동일한 네트워크 내의 연결된 장치에 맬웨어를 퍼뜨려 잠재적인 간첩 활동이나 랜섬웨어 공격으로 이어질 수 있습니다.

Apple이 전 세계적으로 23억 5천만 대가 넘는 활성 기기를 보유하고 있으며, 수백만 대의 타사 AirPlay 지원 기기가 유통되고 있다는 점을 고려하면 잠재적 영향 범위는 매우 광범위합니다.

Apple의 대응과 지속적인 위험

Apple은 이러한 취약점을 인지하고 iOS, macOS, iPadOS, watchOS, tvOS, visionOS 등 자사 플랫폼 전반에 패치를 배포했습니다. 그러나 심각한 우려 사항은 여전히 남아 있습니다.

타사 기기: Apple은 타사 제조업체에 업데이트를 제공하지만, 해당 업데이트의 배포는 Apple이 직접 관리하지 않습니다. 따라서 많은 타사 기기는 패치가 적용되지 않아 사용자가 보안에 취약할 수 있습니다.

Oligo Security는 특히 업데이트가 거의 되지 않거나 강력한 보안 조치가 부족한 기기의 경우 위험이 지속된다는 점을 강조합니다.

사용자를 위한 보호 조치

잠재적 위험을 완화하기 위해 사용자는 다음을 따르는 것이 좋습니다.

장치를 즉시 업데이트하세요: 모든 Apple 및 AirPlay 지원 기기에서 최신 소프트웨어 버전을 실행하고 있는지 확인하세요.
사용하지 않는 기능을 비활성화합니다: AirPlay 수신기를 사용하지 않을 때는 꺼서 노출을 줄이세요.
액세스 제한 : 방화벽 설정을 구성하여 AirPlay 통신(일반적으로 포트 7000)을 신뢰할 수 있는 장치로만 제한합니다.
보안 설정 강화: 무단 연결을 방지하려면 AirPlay 접근 권한을 "현재 사용자만"으로 설정하세요.
네트워크 보안 강화: 특히 차량과 공공장소에서는 Wi-Fi 네트워크에 강력하고 고유한 비밀번호를 사용하세요.

맺음말

AirBorne 취약점은 특히 상호 연결된 기기가 보편화된 시대에 선제적인 사이버 보안 조치의 중요성을 강조합니다. Apple이 이러한 문제 해결을 위한 조치를 취하고 있지만, 사용자들은 기기를 최신 상태로 유지하고 잠재적 위협으로부터 안전하게 보호하는 등 경계를 늦추지 않아야 합니다.