Apple は MAC アドレスによる追跡を防ぐため、Wi-Fi ネットワークごとに異なる MAC アドレスで接続する「プライベート Wi-Fi アドレス」を iOS 14 / iPadOS 14 / watchOS 7 以降で導入しているが、導入から 3 年以上にわたり実際のMACアドレスも送信し続けていたことが明らかになった (Ars Technica の記事、 The Register の記事、 発見者のMastodon 投稿、 解説動画)。

プライベート Wi-Fi アドレスが有効の場合、Wi-Fi ネットワーク接続時には生成された MAC アドレスを使用する。しかし、ネットワーク内の AirPlay デバイスを検出するために送られるマルチキャスト要求では、ペイロードとして生成された MAC アドレスと実際の MAC アドレスを組み合わせたものが送信されていたという。

この脆弱性 CVE-2023-42846 は iOS/iPadOS 16.7.2 および iOS/iPadOS 17.1 と tvOS 17.1、watchOS 10.1 で修正されている。修正内容は脆弱なコードの除去とのこと。