Spätná väzba k reportu

Autentifikovanému lokálnemu útočníkovi je v systémoch macOS Sequoia z dôvodu zraniteľnosti v bezpečnostnej vrstve Quarantine umožnené obísť sandbox a uniknúť z jeho izolácie [10][2][3][4].

Zraniteľnosť sa nachádza v produkte:

• macOS:macOS; >=15.0, <15.5;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

• CVE-2025-31244 na cve.org, NVD
• CWE-693: Protection Mechanism Failure na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 5. 2025.

Autentizovanému vzdialenému útočníkovi je z dôvodu chybnej správy pamäte v implementácii protokolu AFP (Apple Filing Protocol) v systémoch macOS Sequoia a Sonoma umožnené nadviazať spojenie so škodlivým AFP serverom a spôsobiť poškodenie pamäte jadra [11].

Zraniteľnosť sa nachádza v produkte:

• macOS:macOS; >=14.0, <14.7.6; >=15.0, <15.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Viac informácií:

• CVE-2025-31246 na cve.org, NVD
• CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 5. 2025.

Autentizovanému lokálnemu útočníkovi je z dôvodu chyby v implementácii Mobile Device Service v systémoch macOS Sequoia, Sonoma a Ventura umožnené zvýšiť oprávnenia škodlivej aplikácie na úroveň root [12].

Zraniteľnosť sa nachádza v produkte:

• macOS:macOS; >=13.0, <13.7.6; >=14.0, <14.7.6; >=15.0, <15.5;

CVSS: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Viac informácií:

• CVE-2025-24274 na cve.org, NVD
• CWE-20: Improper Input Validation na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 5. 2025.

Neautentizovanému vzdialenému útočníkovi je z dôvodu nedostatočných kontrol oprávnení v komponente iCloud Document Sharing v systémoch iOS, iPadOS, macOS Sequoia, Sonoma a Ventura a visionOS umožnené zapnúť zdieľanie priečinka na iCloud bez autentizácie používateľa [13].

Zraniteľnosť sa nachádza v produktoch:

• iOS:iOS; <18.5;
• iPadOS:iPadOS; <17.7.7; >=18.0, <18.5;
• macOS:macOS; >=13.0, <13.7.6; >=14.0, <14.7.6; >=15.0, <15.4;
• visionOS:visionOS; <2.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Viac informácií:

• CVE-2025-30448 na cve.org, NVD
• CWE-862: Missing Authorization na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 5. 2025.

Autentizovanému vzdialenému útočníkovi je v systémoch Apple iOS, iPadOS, macOS Sequoia, Sonoma a Ventura, watchOS, tvOS a visionOS umožnené poškodiť pamäť jadra [14].

Zraniteľnosť sa nachádza v produktoch:

• iOS:iOS; <18.5;
• iPadOS:iPadOS; <17.7.7; >=18.0, <18.5;
• macOS:macOS; >=13.0, <13.7.6; >=14.0, <14.7.6; >=15.0, <15.5;
• watchOS:watchOS; <11.5;
• tvOS:tvOS; <18.5;
• visionOS:visionOS; <2.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Viac informácií:

• CVE-2025-31219 na cve.org, NVD
• CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 5. 2025.

Neautentizovanému vzdialenému útočníkovi je z dôvodu chybnej správy pamäte v komponente WebKit v systémoch iOS, iPadOS, macOS Sequoia, watchOS, tvOS a visionOS a v Safari umožnené pomocou sociálneho inžinierstva poškodiť pamäť pri procese spracovania škodlivého webového obsahu [15].

Zraniteľnosť sa nachádza v produktoch:

• iOS:iOS; <18.5;
• iPadOS:iPadOS; <18.5;
• macOS:macOS; >=15.0, <15.5;
• watchOS:watchOS; <11.5;
• tvOS:tvOS; <18.5;
• visionOS:visionOS; <2.5;
• *:Safari; <18.5;

CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L

Viac informácií:

• CVE-2025-31204 na cve.org, NVD
• CWE-119: Improper Restriction of Operations within the Bounds of a Memory Buffer na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 12. 5. 2025.