Zpětná vazba k reportu

Autentizovanému lokálnímu útočníkovi je v systémech macOS Sequoia kvůli zranitelnosti v bezpečnostní vrstvě Quarantine umožněno obejít sandbox a uniknout z jeho izolace [10][2][3][4].

Zranitelnost se nachází v produktu:

• macOS:macOS; >=15.0, <15.5;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Více informací:

• CVE-2025-31244 na cve.org, NVD
• CWE-693: Protection Mechanism Failure na cwe.mitre.org

Zranitelnost byla veřejně oznámena 12. 5. 2025.

Autentizovanému vzdálenému útočníkovi je kvůli chybné správě paměti v implementaci protokolu AFP (Apple Filing Protocol) v systémech macOS Sequoia a Sonoma umožněno navázat spojení se škodlivým AFP serverem a způsobit poškození paměti jádra [11].

Zranitelnost se nachází v produktu:

• macOS:macOS; >=14.0, <14.7.6; >=15.0, <15.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Více informací:

• CVE-2025-31246 na cve.org, NVD
• CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zranitelnost byla veřejně oznámena 12. 5. 2025.

Autentizovanému lokálnímu útočníkovi je kvůli chybě v implementaci Mobile Device Service v systémech macOS Sequoia, Sonoma a Ventura umožněno zvýšit oprávnění škodlivé aplikace na úroveň root [12].

Zranitelnost se nachází v produktu:

• macOS:macOS; >=13.0, <13.7.6; >=14.0, <14.7.6; >=15.0, <15.5;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Více informací:

• CVE-2025-24274 na cve.org, NVD
• CWE-20: Improper Input Validation na cwe.mitre.org

Zranitelnost byla veřejně oznámena 12. 5. 2025.

Neautentizovanému vzdálenému útočníkovi je kvůli nedostatečným kontrolám oprávnění v komponentě iCloud Document Sharing v systémech iOS, iPadOS, macOS Sequoia, Sonoma a Ventura a visionOS umožněno zapnout sdílení složky na iCloud bez autentizace uživatele [13].

Zranitelnost se nachází v produktech:

• iOS:iOS; <18.5;
• iPadOS:iPadOS; <17.7.7; >=18.0, <18.5;
• macOS:macOS; >=13.0, <13.7.6; >=14.0, <14.7.6; >=15.0, <15.4;
• visionOS:visionOS; <2.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Více informací:

• CVE-2025-30448 na cve.org, NVD
• CWE-862: Missing Authorization na cwe.mitre.org

Zranitelnost byla veřejně oznámena 12. 5. 2025.

Autentizovanému vzdálenému útočníkovi je v systémech Apple iOS, iPadOS, macOS Sequoia, Sonoma a Ventura, watchOS, tvOS a visionOS umožněno poškodit paměť jádra [14].

Zranitelnost se nachází v produktech:

• iOS:iOS; <18.5;
• iPadOS:iPadOS; <17.7.7; >=18.0, <18.5;
• macOS:macOS; >=13.0, <13.7.6; >=14.0, <14.7.6; >=15.0, <15.5;
• watchOS:watchOS; <11.5;
• tvOS:tvOS; <18.5;
• visionOS:visionOS; <2.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Více informací:

• CVE-2025-31219 na cve.org, NVD
• CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zranitelnost byla veřejně oznámena 12. 5. 2025.

Neautentizovanému vzdálenému útočníkovi je kvůli chybné správě paměti v komponentě WebKit v systémech iOS, iPadOS, macOS Sequoia, watchOS, tvOS a visionOS a v Safari umožněno pomocí sociálního inženýrství poškodit paměť při procesu zpracování škodlivého webového obsahu [15].

Zranitelnost se nachází v produktech:

• iOS:iOS; <18.5;
• iPadOS:iPadOS; <18.5;
• macOS:macOS; >=15.0, <15.5;
• watchOS:watchOS; <11.5;
• tvOS:tvOS; <18.5;
• visionOS:visionOS; <2.5;
• *:Safari; <18.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L

Více informací:

• CVE-2025-31204 na cve.org, NVD
• CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zranitelnost byla veřejně oznámena 12. 5. 2025.