Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Apple opravuje vyše 140 zraniteľností v rôznych produktoch

Apple opravuje vyše 140 zraniteľností vo svojich produktoch. Výber z najzávažnejších nájdete nižšie, zvyšné sú popísané na [1][2][3][4][5][6][7][8][9][10][11][12]. Produkty a ich opravené verzie: macOS - 13.7.5 [1], 14.7.5 [2], 15.4 [3] iOS - 15.8.4 [4], 16.7.11 [5], 18.4 [6] iPadOS - 15.8.4 [4], 16.7.11 [5], 17.7.6 [7], 18.4 [6] watchOS - 11.4 [8] tvOS - 18.4 [9] visionOS - 2.4 [10] Safari - 18.4 [11] Xcode - 16.3 [12]

Apple macOS - privilege escalation (CVE-2025-24234, CVE-2025-24277)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je v dôsledku chýb v implementácii komponentov AccountPolicy a Crash Reporter v macOS pomocou sociálneho inžinierstva umožnené získať oprávnenia root [13][14].

Zraniteľnosť sa nachádza v produkte:

  • macOS:macOS;>=13.0,<13.7.5;>=14.0,<14.7.5;>=15.0,<15.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 31. 3. 2025.

Apple macOS - RCE (CVE-2025-24228)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je v dôsledku pretečenia bufferu v rámci protokolu SMB (Server Message Block) v macOS pomocou sociálneho inžinierstva umožnené spustiť kód s právami kernelu [15].

Zraniteľnosť sa nachádza v produkte:

  • macOS:macOS;>=13.0,<13.7.5;>=14.0,<14.7.5;>=15.0,<15.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

  • CVE-2025-24228 na cve.org, NVD
  • CWE-120: Buffer Copy without Checking Size of Input ('Classic Buffer Overflow') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 31. 3. 2025.

Apple iOS, iPadOS, macOS - privilege escalation (CVE-2025-30456)
CVSS 8.8 (High)

Neautentizovanému vzdialenému útočníkovi je v dôsledku nedostatočnej validácie vstupnej cesty v komponente DiskArbitration v iOS, iPadOS a macOS umožnené pomocou sociálneho inžinierstva získať oprávnenia root [16].

Zraniteľnosť sa nachádza v produktoch:

  • macOS:macOS;<13.7.5;>=14.0,<14.7.5;>=15.0,<15.4;
  • iOS:iOS;<18.4;
  • iPadOS:iPadOS;<18.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 31. 3. 2025.

Apple iOS, iPadOS, macOS, tvOS - privilege escalation (CVE-2025-24238)
CVSS 7.8 (High)

Autentizovanému lokálnemu útočníkovi je v dôsledku logickej chyby v knižnici libxpc v iOS, iPadOS, macOS a tvOS umožnené zvýšiť svoje oprávnenia [17][18].

Zraniteľnosť sa nachádza v produktoch:

  • macOS:macOS;>=13.0;<13.7.5;>=14.0,<14.7.5;>=15.0,<15.4;
  • iOS:iOS;<18.4;
  • iPadOS:iPadOS;<18.4;
  • tvOS:tvOS;<18.4;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 31. 3. 2025.

Apple iOS, iPadOS, macOS, visionOS - DoS, kernel memory write (CVE-2025-24257)
CVSS 8.1 (High)

Neautentizovanému vzdialenému útočníkovi je v dôsledku zápisu mimo rozsahu alokovanej pamäte v komponente IOGPUFamily v iOS, iPadOS, macOS a visionOS umožnené vykonať na systém DoS útok alebo zapisovať do pamäte kernelu [19].

Zraniteľnosť sa nachádza v produktoch:

  • macOS:macOS;>=15.0,<15.4;
  • iOS:iOS;<18.4;
  • iPadOS:iPadOS;<18.4;
  • visionOS:visionOS;<2.4;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H

Viac informácií:

Zraniteľnosť bola verejne oznámená 31. 3. 2025.

Za CESNET, z.s.p.o. Michaela Ručková dňa 10. 4. 2025.

CESNET, z.s.p.o. Logo