Apple исправила первую в этом году активно эксплуатируемую уязвимость нулевого дня

Компания Apple выпустила обновления безопасности для исправления первой в 2025 году уязвимости нулевого дня, отмеченной как активно эксплуатируемая в атаках, нацеленных на пользователей iPhone.

Исправленная уязвимость нулевого с идентификатором CVE-2025-24085 затрагивает системы iOS/iPadOS, macOS, tvOS, watchOS, visionOS и является уязвимостью повышения привилегий в фреймворке Core Media от Apple.

Apple заявляет:

Вредоносное приложение может получить возможность повышать привилегии. Apple известно о том, что эта проблема могла активно эксплуатироваться в версиях iOS до iOS 17.2.

Согласно официальной документации компании, Core Media «определяет медиаконвейер, используемый AVFoundation и другими высокоуровневыми медиафреймворками, обнаруженными на платформах Apple».

Apple исправила CVE-2024-23222, улучшив управление памятью в iOS 18.3, iPadOS 18.3, macOS Sequoia 15.3, watchOS 11.3, visionOS 2.3 и tvOS 18.3.

Список устройств, затронутых этой уязвимостью нулевого дня, довольно обширен, поскольку ошибка затрагивает как старые, так и новые модели, включая:

• iPhone XS и более поздние версии,
• iPad Pro 13 дюймов, iPad Pro 12,9 дюймов 3-го поколения и более поздние версии, iPad Pro 11 дюймов 1-го поколения и более поздние версии, iPad Air 3-го поколения и более поздние версии, iPad 7-го поколения и более поздние версии, iPad mini 5-го поколения и более поздние версии
• macOS Sequoia
• Apple Watch Series 6 и более поздние версии
• Apple TV HD и Apple TV 4K (все модели)

Apple пока не приписала обнаружение этой уязвимости безопасности исследователю безопасности и не опубликовала подробности об атаках, хотя и раскрыла, что она эксплуатируется в реальных условиях.

Хотя мы имеем дело с уязвимостью нулевого дня и, вероятно, она использовалась только в таргетированных атаках, пользователям настоятельно рекомендуется установить обновления безопасности как можно скорее, чтобы заблокировать продолжающиеся попытки атак.

В прошлом году компания исправила в общей сложности шесть уязвимостей нулевого дня, первую в январе, две в марте, четвертую в мае и еще две в ноябре. Годом ранее, в 2023 году, Apple исправила 20 уязвимостей нулевого дня, эксплуатируемых в атаках.