CarPlay-Sicherheitslücke:
Apple lässt Autos seit Monaten angreifbar

Millionen Fahrzeuge mit Apple CarPlay sind durch eine seit Monaten bekannte Sicherheitslücke angreifbar. Obwohl Apple bereits im April Patches bereitstellte, haben die meisten Autohersteller diese bis heute nicht umgesetzt.

Kritische Lücke bleibt ungepatcht

Seit April ist eine Sicherheitslücke in Apple CarPlay bekannt (CVE-2025-24132), die Millionen Fahrzeuge betrifft. Die Schwachstelle mit einem CVSS-Wert von 6,5 erlaubt Angreifern Root-Zugriff auf CarPlay-Systeme, und zwar auch ohne Zutun der Nutzer.

Und hier liegt das Problem

Forscher zeigten, wie sich die Lücke über das iAP2-Protokoll ausnutzen lässt: Angreifer koppeln sich per Bluetooth, erhalten die WLAN-Zugangsdaten und können anschließend den Pufferüberlauf im AirPlay-SDK auslösen. Besonders gefährlich: Bei der Standardkopplung "Just Works" ist keine PIN nötig, bei PIN-Kopplung reicht die Anzeige auf dem Display.


Obwohl Apple bereits am 29. April Patches veröffentlicht hat, sind diese bislang kaum bei den Endverbraucher angekommen. Nach Kenntnis der Forscher hat tatsächlich kein Autohersteller seine Systeme aktualisiert.

Träge Update-Prozesse

Die Gründe liegen in der Automobilindustrie selbst: fehlende Standards, lange Testzyklen und Updates, die oft nur manuell beim Händler installiert werden können. "Anders als Smartphones, die sich über Nacht aktualisieren, erfordern viele Fahrzeugsysteme immer noch manuelle Installationen", sagt Uri Katz von Oligo Security.

Die Folgen sind gravierend. Mit Root-Zugriff könnten Angreifer Standortdaten abgreifen, Gespräche abhören oder Fahrer während der Fahrt ablenken. Um Missbrauch zu erschweren, halten die Forscher technische Details noch zurück.

Was denkt ihr über die schleppende Umsetzung von Sicherheits-Updates in der Automobilindustrie? Teilt eure Meinung in den Kommentaren! Siehe auch: