Informace o bezpečnostním obsahu iOS 18.3 a iPadOS 18.3

Tento dokument popisuje bezpečnostní obsah iOS 18.3 a iPadOS 18.3.

Informace o bezpečnostních aktualizacích Apple

Apple v zájmu ochrany zákazníků nezveřejňuje, nekomentuje ani nepotvrzuje bezpečnostní problémy, dokud nejsou plně vyšetřené a nejsou k dispozici opravy nebo aktualizace. Nejnovější opravy najdete na stránce Bezpečnostní aktualizace Apple.

Pokud je to možné, bezpečnostní dokumenty Apple odkazují na bezpečnostní slabiny pomocí identifikátorů CVE-ID.

Podrobnější informace o zabezpečení najdete na stránce Zabezpečení produktů Apple.

iOS 18.3 a iPadOS 18.3

Vydáno 27. ledna 2025

Accessibility

K dispozici: iPhone XS a novější, 13palcový iPad Pro, 12,9palcový iPad Pro 3. generace a novější, 11palcový iPad Pro 1. generace a novější, iPad Air 3. generace a novější, iPad 7. generace a novější a iPad mini 5. generace a novější

Dopad: Útočníkovi s fyzickým přístupem k odemčenému zařízení se může podařit získat přístup k Fotkám, když je aplikace uzamčená.

Popis: Problém s ověřováním byl vyřešen vylepšením správy stavu.

CVE-2025-24141: Abhay Kailasia (@abhay_kailasia) z C-DAC Thiruvananthapuram India

AirPlay

Dopad: Útočníkovi v místní síti se může podařit způsobit neočekávané ukončení systému nebo poškodit paměť procesu.

Popis: Byl vyřešen problém s ověřováním vstupů.

CVE-2025-24126: Uri Katz (Oligo Security)

AirPlay

Dopad: Útočníkovi se může podařit způsobit neočekávané ukončení aplikace.

Popis: Problém se záměnou typů byl vyřešen vylepšením kontrol.

CVE-2025-24129: Uri Katz (Oligo Security)

AirPlay

Dopad: Útočníkovi s vysokými oprávněními se může podařit způsobit odmítnutí služby.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-24131: Uri Katz (Oligo Security)

AirPlay

Dopad: Vzdálenému útočníkovi se může podařit způsobit odmítnutí služby.

Popis: Přístup přes nulový ukazatel byl vyřešen vylepšením ověřování vstupů.

CVE-2025-24177: Uri Katz (Oligo Security)

AirPlay

Dopad: Vzdálený útočník může způsobit nečekané ukončení aplikace nebo spuštění libovolného kódu.

Popis: Problém se záměnou typů byl vyřešen vylepšením kontrol.

CVE-2025-24137: Uri Katz (Oligo Security)

ARKit

Dopad: Parsování souboru může vést k neočekávanému ukončení aplikace.

Popis: Problém byl vyřešen vylepšením kontroly.

CVE-2025-24127: Minghao Lin (@Y1nKoc), babywu a Xingwei Lin ze Zhejiang University

CoreAudio

Dopad: Parsování souboru může vést k neočekávanému ukončení aplikace.

Popis: Problém byl vyřešen vylepšením kontroly.

CVE-2025-24160: Google Threat Analysis Group

CVE-2025-24161: Google Threat Analysis Group

CVE-2025-24163: Google Threat Analysis Group

CoreMedia

Dopad: Parsování souboru může vést k neočekávanému ukončení aplikace.

Popis: Problém byl vyřešen vylepšením kontroly.

CVE-2025-24123: Desmond ve spolupráci se Zero Day Initiative společnosti Trend Micro

CVE-2025-24124: Pwn2car & Rotiple (HyeongSeok Jang) ve spolupráci se Zero Day Initiative společnosti Trend Micro

CoreMedia

Dopad: Škodlivé aplikaci se může podařit navýšit si oprávnění. Apple má informace o tom, že tento problém mohl být aktivně zneužit ve verzích iOS vydaných před iOS 17.2.

Popis: Problém s použitím paměti po uvolnění byl vyřešen vylepšením správy paměti.

CVE-2025-24085

ImageIO

Dopad: Zpracování obrázku může vést k odepření služby.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

CVE-2025-24086: DongJun Kim (@smlijun) a JongSeong Kim (@nevul37) v Enki WhiteHat, D4m0n

Kernel

Dopad: Škodlivé aplikaci se může podařit získat kořenová oprávnění.

Popis: Problém s oprávněními byl vyřešen přidáním dalších omezení.

CVE-2025-24107: anonymní výzkumník

Kernel

Dopad: Aplikaci se může podařit spustit libovolný kód s oprávněními k jádru.

Popis: Problém s ověřováním byl vyřešen vylepšením logiky.

CVE-2025-24159: pattern-f (@pattern_F_)

LaunchServices

Dopad: Aplikaci se může podařit sejmout otisk prstu uživatele.

Popis: Problém byl vyřešen vylepšením redigování citlivých údajů.

CVE-2025-24117: Michael (Biscuit) Thomas (@biscuit@social.lol)

Managed Configuration

Dopad: Obnovení škodlivého souboru zálohy může vést k úpravě chráněných systémových souborů.

Popis: Problém byl vyřešen vylepšením zpracování symbolických odkazů.

CVE-2025-24104: Hichem Maloufi, Hakim Boukhadra

Přístupové klíče

Dopad: Aplikace může získat neoprávněný přístup k Bluetooth.

Popis: Jedná se o slabinu v open source kódu, která má vliv i na software Apple. Identifikátor CVE-ID byl přiřazen třetí stranou. Další informace o problému a identifikátoru CVE-ID najdete na cve.org.

CVE-2024-9956: mastersplinter

Safari

Dopad: Návštěva škodlivého webu může vést ke zfalšování řádku s adresou.

Popis: Problém byl vyřešen přidáním další logiky.

CVE-2025-24128: @RenwaX23

Safari

Dopad: Návštěva škodlivého webu může vést ke zfalšování uživatelského rozhraní.

Popis: Problém byl vyřešen vylepšením uživatelského rozhraní.

CVE-2025-24113: @RenwaX23

SceneKit

Dopad: Parsování souboru může vést k odhalení uživatelských informací.

Popis: Problém se čtením mimo rozsah byl vyřešen vylepšením kontroly rozsahu.

CVE-2025-24149: Michael DePlante (@izobashi) z týmu Zero Day Initiative společnosti Trend Micro

Časové pásmo

Dopad: Aplikace může mít přístup k telefonnímu číslu kontaktu v systémových protokolech.

Popis: Problém s ochranou soukromí byl vyřešen vylepšením redigování soukromých dat pro záznamy protokolu.

CVE-2025-24145: Kirin (@Pwnrin)

WebContentFilter

Dopad: Útočníkovi se může podařit způsobit neočekávané ukončení systému nebo poškodit paměť jádra.

Popis: Problém se zápisem mimo rozsah byl vyřešen vylepšením ověřování vstupů.

CVE-2025-24154: anonymní výzkumník

WebKit

Dopad: Škodlivému webu se může podařit vytvořit reprezentaci uživatele.

Popis: Problém byl vyřešen vylepšením omezení přístupu k souborovému systému.

WebKit Bugzilla: 283117

CVE-2025-24143: anonymní výzkumník

WebKit

Dopad: Zpracování webového obsahu může vést k odepření služby.

Popis: Problém byl vyřešen vylepšením zpracování paměti.

WebKit Bugzilla: 283889

CVE-2025-24158: Q1IQ (@q1iqF) z NUS CuriOSity a P1umer (@p1umer) ze společnosti Imperial Global Singapore.

WebKit

Dopad: Zpracování škodlivého webového obsahu může vést k nečekanému pádu procesu.

Popis: Problém byl vyřešen vylepšením správy stavů.

WebKit Bugzilla: 284159

CVE-2025-24162: linjy z týmu HKUS3Lab a chluo z týmu WHUSecLab

WebKit Web Inspector

Dopad: Při kopírování URL z Web Inspectoru může dojít k vložení příkazu.

Popis: Problém se soukromím byl vyřešen lepším zpracováváním souborů.

WebKit Bugzilla: 283718

CVE-2025-24150: Johan Carlsson (joaxcar)

Další poděkování

Accessibility

Poděkování za pomoc zaslouží Abhay Kailasia (@abhay_kailasia) z Lakshmi Narain College of Technology v Bhópálu v Indii a C-DAC Thiruvananthapuram India.

Audio

Poděkování za pomoc zaslouží Google Threat Analysis Group.

CoreAudio

Poděkování za pomoc zaslouží Google Threat Analysis Group.

CoreMedia Playback

Poděkování za pomoc zaslouží Song Hyun Bae (@bshyuunn) a Lee Dong Ha (Who4mI).

Soubory

Poděkování za pomoc zaslouží Chi Yuan Chang ze společnosti ZUSO ART a taikosoup.

Oznámení

Poděkování za pomoc zaslouží Abhay Kailasia (@abhay_kailasia) z Lakshmi Narain College of Technology, Bhopal v Indii, Xingjian Zhao (@singularity-s0).

Passwords

Poděkování za pomoc zaslouží Talal Haj Bakry a Tommy Mysk ze společnosti Mysk Inc. @mysk_co.

Telefon

Poděkování za pomoc zaslouží (@abhay_kailasia) ze společnosti C-DAC Thiruvananthapuram, Indie a anonymní výzkumník.

Snímky obrazovky

Poděkování za pomoc zaslouží Yannik Bloscheck (yannikbloscheck.com).

Spánek

Poděkování za pomoc zaslouží Abhay Kailasia (@abhay_kailasia) z Lakshmi Narain College of Technology v Bhópálu v Indii a C-DAC Thiruvananthapuram India.

Static Linker

Poděkování za pomoc zaslouží Holger Fuhrmannek.

VoiceOver

Poděkování za pomoc zaslouží Bistrit Dahal, Dalibor Milanovic.

Informace o produktech, které nevyrábí Apple, a o nezávislých webech, které Apple nemá pod kontrolou a netestuje je, jsou poskytovány bez doporučení nebo záruky za jejich obsah. Apple v souvislosti s výběrem, výkonem nebo použitím webů nebo produktů třetích stran nepřebírá žádnou odpovědnost. Apple nijak nezaručuje přesnost nebo spolehlivost webů třetích stran. Další informace vám poskytne příslušný výrobce.

Datum zveřejnění: 06. února 2025