Un equipo de investigación publicó un estudio de ingeniería inversa y pruebas de seguridad sobre los protocolos de transferencia de archivos por proximidad de Apple (AirDrop) y Google/Samsung (Quick Share), usados por más de 5.000 millones de dispositivos. Ambos protocolos funcionan sin emparejamiento previo desde alcance inalámbrico y procesan contenido serializado complejo dentro de daemons con privilegios, lo que los convierte en objetivos atractivos de ataques sin clic. Los autores reconstruyeron la máquina de estados de siete capas de AirDrop y su compresión adaptativa DVZip mediante análisis binario, y desarrollaron AIRFUZZ, un fuzzer consciente del protocolo que muta representaciones previas a la compresión. Complementaron el trabajo con análisis manuales del servicio Quick Share de Samsung y de la versión para Windows de Google.
El estudio identificó seis vulnerabilidades: tres en AirDrop para macOS e iOS previas a la autenticación (V1: denegación de servicio por Swift fatalError en el enrutador HTTP; V2: recursión ilimitada en plist XML de Foundation; V3: desreferencia de puntero NULL en el parser HTTP/1.1 de Network.framework); dos defectos de capa de protocolo en Samsung Quick Share (V4: dispatch de OfflineFrame sin autenticación; V5: bypass de cifrado D2D en tres tipos de trama); y un uso después de liberación de memoria en heap en Quick Share para Windows de Google (V6), por el que Google otorgó una recompensa. Todas las vulnerabilidades se divulgaron de forma responsable y Apple, Samsung y Google reconocieron los reportes.