Over de beveiligingsinhoud van macOS Sequoia 15.3

In dit document wordt de beveiligingsinhoud van macOS Sequoia 15.3 beschreven.

Over Apple beveiligingsupdates

Ter bescherming van onze klanten maakt Apple geen beveiligingskwesties openbaar en bespreekt of bevestigt Apple deze niet totdat een volledig onderzoek is uitgevoerd en de benodigde patches of releases beschikbaar zijn. Recente releases staan vermeld op de pagina Apple beveiligingsreleases.

Apple beveiligingsdocumenten verwijzen waar mogelijk naar kwetsbaarheden met CVE-ID.

Raadpleeg de pagina Apple productbeveiliging voor meer informatie over beveiliging.

macOS Sequoia 15.3

AirPlay

Beschikbaar voor: macOS Sequoia

Impact: een aanvaller op het lokale netwerk kan mogelijk het onverwacht beëindigen van het systeem veroorzaken of het procesgeheugen beschadigen

Beschrijving: een probleem met invoervalidatie is verholpen.

CVE-2025-24126: Uri Katz (Oligo Security)

AirPlay

Beschikbaar voor: macOS Sequoia

Impact: een externe aanvaller kan het onverwacht beëindigen van de app veroorzaken

Beschrijving: er is een type confusion-probleem verholpen door verbeterde controles.

CVE-2025-24129: Uri Katz (Oligo Security)

AirPlay

Beschikbaar voor: macOS Sequoia

Impact: een aanvaller in een geprivilegieerde positie kan mogelijk een denial of service uitvoeren

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2025-24131: Uri Katz (Oligo Security)

AirPlay

Beschikbaar voor: macOS Sequoia

Impact: een externe aanvaller kan een denial-of-service veroorzaken

Beschrijving: een null pointer-dereferentie is verholpen door verbeterde invoervalidatie.

CVE-2025-24177: Uri Katz (Oligo Security)

AirPlay

Beschikbaar voor: macOS Sequoia

Impact: een externe aanvaller kan het onverwacht beëindigen van het programma of het uitvoeren van willekeurige code veroorzaken

Beschrijving: er is een type confusion-probleem verholpen door verbeterde controles.

CVE-2025-24137: Uri Katz (Oligo Security)

AppKit

Beschikbaar voor: macOS Sequoia

Impact: een app kan toegang krijgen tot beschermde gebruikersgegevens

Beschrijving: het probleem is verholpen door aanvullende controles op bevoegdheden.

CVE-2025-24087: Mickey Jin (@patch1t)

AppleGraphicsControl

Beschikbaar voor: macOS Sequoia

Impact: het parseren van een bestand kan het onverwacht beëindigen van de app veroorzaken

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2025-24112: D4m0n

AppleMobileFileIntegrity

Beschikbaar voor: macOS Sequoia

Impact: een app kan mogelijk toegang krijgen tot informatie over de contacten van een gebruiker

Beschrijving: een logicaprobleem is verholpen door verbeterde beperkingen.

CVE-2025-24100: Kirin (@Pwnrin)

AppleMobileFileIntegrity

Beschikbaar voor: macOS Sequoia

Impact: een app kan toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een downgradeprobleem is verholpen door aanvullende codeondertekeningsbeperkingen.

CVE-2025-24109: Bohdan Stasiuk (@Bohdan_Stasiuk)

AppleMobileFileIntegrity

Beschikbaar voor: macOS Sequoia

Impact: een app kan beveiligde onderdelen van het bestandssysteem wijzigen

Beschrijving: een machtigingsprobleem is verholpen met aanvullende beperkingen.

CVE-2025-24114: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Beschikbaar voor: macOS Sequoia

Impact: een app kan beveiligde onderdelen van het bestandssysteem wijzigen

Beschrijving: een logicaprobleem is verholpen door verbeterde controles.

CVE-2025-24121: Mickey Jin (@patch1t)

AppleMobileFileIntegrity

Beschikbaar voor: macOS Sequoia

Impact: een app kan beveiligde onderdelen van het bestandssysteem wijzigen

Beschrijving: een downgradeprobleem op Intel-Mac-computers is verholpen door aanvullende code ondertekeningsbeperkingen.

CVE-2025-24122: Mickey Jin (@patch1t)

ARKit

Beschikbaar voor: macOS Sequoia

Impact: het parseren van een bestand kan het onverwacht beëindigen van de app veroorzaken

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2025-24127: Minghao Lin (@Y1nKoc), babywu en Xingwei Lin van Zhejiang University

Audio

Beschikbaar voor: macOS Sequoia

Impact: het parseren van een bestand kan het onverwacht beëindigen van de app veroorzaken

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2025-24106: Wang Yu van Cyberserval

CoreAudio

Beschikbaar voor: macOS Sequoia

Impact: het parseren van een bestand kan het onverwacht beëindigen van de app veroorzaken

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2025-24160: Google Threat Analysis Group

CVE-2025-24161: Google Threat Analysis Group

CVE-2025-24163: Google Threat Analysis Group

CoreMedia

Beschikbaar voor: macOS Sequoia

Impact: het parseren van een bestand kan het onverwacht beëindigen van de app veroorzaken

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2025-24123: Desmond in samenwerking met Trend Micro Zero Day Initiative

CVE-2025-24124: Pwn2car & Rotiple (HyeongSeok Jang) in samenwerking met Trend Micro Zero Day Initiative

CoreMedia

Beschikbaar voor: macOS Sequoia

Impact: een kwaadaardig programma kan de bevoegdheden verhogen. Apple is op de hoogte van een melding dat er mogelijk actief misbruik is gemaakt van dit probleem in versies van iOS vóór iOS 17.2.

Beschrijving: een use-after-free-probleem is verholpen door een verbeterd beheer van het geheugen.

CVE-2025-24085

CoreRoutine

Beschikbaar voor: macOS Sequoia

Impact: een app kan mogelijk de huidige locatie van een gebruiker bepalen

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2025-24102: Kirin (@Pwnrin)

FaceTime

Beschikbaar voor: macOS Sequoia

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een probleem met vrijgave van gegevens is verholpen met verbeterde privacyregelaars.

CVE-2025-24134: Kirin (@Pwnrin)

iCloud

Beschikbaar voor: macOS Sequoia

Impact: de quarantainevlag wordt mogelijk niet toegepast op van het internet gedownloade bestanden

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

CVE-2025-24140: Matej Moravec (@MacejkoMoravec)

iCloud Photo Library

Beschikbaar voor: macOS Sequoia

Impact: een app kan mogelijk privacyvoorkeuren omzeilen

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2025-24174: Arsenii Kostromin (0x3c3e), Joshua Jones

ImageIO

Beschikbaar voor: macOS Sequoia

Impact: het verwerken van een afbeelding kan leiden tot een denial-of-service

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2025-24086: DongJun Kim (@smlijun) en JongSeong Kim (@nevul37) in Enki WhiteHat, D4m0n

Kernel

Beschikbaar voor: macOS Sequoia

Impact: een app kan zorgen voor het onverwacht beëindigen van het systeem of het schrijven van kernelgeheugen

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2025-24118: Joseph Ravichandran (@0xjprx) van MIT CSAIL

Kernel

Beschikbaar voor: macOS Sequoia

Impact: een kwaadaardige app kan mogelijk rootbevoegdheden verkrijgen

Beschrijving: een probleem met bevoegdheden is verholpen met aanvullende beperkingen.

CVE-2025-24107: een anonieme onderzoeker

Kernel

Beschikbaar voor: macOS Sequoia

Impact: een app kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een validatieprobleem is verholpen door verbeterde logica.

CVE-2025-24159: pattern-f (@pattern_F_)

LaunchServices

Beschikbaar voor: macOS Sequoia

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: een race condition is verholpen met aanvullende validatie.

CVE-2025-24094: een anonieme onderzoeker

LaunchServices

Beschikbaar voor: macOS Sequoia

Impact: een app kan mogelijk bestanden buiten zijn sandbox lezen

Beschrijving: een probleem met verwerking van paden is verholpen door verbeterde validatie.

CVE-2025-24115: een anonieme onderzoeker

LaunchServices

Beschikbaar voor: macOS Sequoia

Impact: een app kan mogelijk privacyvoorkeuren omzeilen

Beschrijving: een toegangsprobleem is verholpen door aanvullende sandboxbeperkingen.

CVE-2025-24116: een anonieme onderzoeker

LaunchServices

Beschikbaar voor: macOS Sequoia

Impact: een app kan mogelijk de vingerafdruk van de gebruiker afnemen

Beschrijving: dit probleem is verholpen door een verbeterde manier van onleesbaar maken van vertrouwelijke informatie.

CVE-2025-24117: Michael (Biscuit) Thomas (@biscuit@social.lol)

Login Window

Beschikbaar voor: macOS Sequoia

Impact: een kwaadwillige app kan mogelijk symlinks maken om regio’s van de schijf te beveiligen

Beschrijving: dit probleem is verholpen door een verbeterde validatie van symlinks.

CVE-2025-24136: 云散

Messages

Beschikbaar voor: macOS Sequoia

Impact: een app kan mogelijk toegang krijgen tot vertrouwelijke gebruikersgegevens

Beschrijving: dit probleem is verholpen door een verbeterde manier van onleesbaar maken van vertrouwelijke informatie.

CVE-2025-24101: Kirin (@Pwnrin)

NSDocument

Beschikbaar voor: macOS Sequoia

Impact: een schadelijke app kan mogelijk toegang verkrijgen tot willekeurige bestanden

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

CVE-2025-24096: een anonieme onderzoeker

PackageKit

Beschikbaar voor: macOS Sequoia

Impact: een lokale aanvaller kan zijn bevoegdheden mogelijk verhogen

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2025-24099: Mickey Jin (@patch1t)

PackageKit

Beschikbaar voor: macOS Sequoia

Impact: een app kan beveiligde onderdelen van het bestandssysteem wijzigen

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2025-24130: Pedro Tôrres (@t0rr3sp3dr0)

Passwords

Beschikbaar voor: macOS Sequoia

Impact: een kwaadwillende app kan mogelijk de authenticatie van browserextensies omzeilen

Beschrijving: een probleem met logboekregistratie is verholpen door een verbeterde manier van onleesbaar maken van gegevens.

CVE-2025-24169: Josh Parnham (@joshparnham)

Photos Storage

Beschikbaar voor: macOS Sequoia

Impact: het verwijderen van een gesprek in Berichten kan ertoe leiden dat contactgegevens van gebruikers in de systeemregistratie openbaar worden gemaakt

Beschrijving: dit probleem is verholpen door een verbeterde manier van onleesbaar maken van vertrouwelijke informatie.

CVE-2025-24146: 神罚 (@Pwnrin)

Safari

Beschikbaar voor: macOS Sequoia

Impact: het bezoeken van een kwaadaardige website kan leiden tot adresbalkvervalsing

Beschrijving: dit probleem is verholpen door extra logica toe te voegen.

CVE-2025-24128: @RenwaX23

Safari

Beschikbaar voor: macOS Sequoia

Impact: een bezoek aan een schadelijke website kan leiden tot vervalsing van de gebruikersinterface

Beschrijving: het probleem is verholpen door een verbeterde gebruikersinterface.

CVE-2025-24113: @RenwaX23

SceneKit

Beschikbaar voor: macOS Sequoia

Impact: het parseren van een bestand kan leiden tot het vrijgeven van gebruikersinformatie

Beschrijving: een probleem met het lezen buiten het bereik is verholpen door een verbeterde bereikcontrole.

CVE-2025-24149: Michael DePlante (@izobashi) van Trend Micro Zero Day Initiative

Security

Beschikbaar voor: macOS Sequoia

Impact: een app kan toegang krijgen tot beschermde gebruikersgegevens

Beschrijving: dit probleem is verholpen door een verbeterde validatie van symlinks.

CVE-2025-24103: Zhongquan Li (@Guluisacat)

SharedFileList

Beschikbaar voor: macOS Sequoia

Impact: een app kan toegang krijgen tot beschermde gebruikersgegevens

Beschrijving: een toegangsprobleem is verholpen door aanvullende sandboxbeperkingen.

CVE-2025-24108: een anonieme onderzoeker

sips

Beschikbaar voor: macOS Sequoia

Impact: het parseren van een kwaadwillige vervaardigd bestand kan leiden tot de onverwachte beëindiging van apps

Beschrijving: het probleem is verholpen door verbeterde controles.

CVE-2025-24139: Hossein Lotfi (@hosselot) van Trend Micro Zero Day Initiative

SMB

Beschikbaar voor: macOS Sequoia

Impact: een app kan zorgen voor het onverwacht beëindigen van corrupt kernelgeheugen

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2025-24151: een anonieme onderzoeker

CVE-2025-24152: een anonieme onderzoeker

SMB

Beschikbaar voor: macOS Sequoia

Impact: een app met rootbevoegdheden kan willekeurige code uitvoeren met kernelbevoegdheden

Beschrijving: een probleem met bufferoverloop is verholpen door verbeterde verwerking van het geheugen.

CVE-2025-24153: een anonieme onderzoeker

Spotlight

Beschikbaar voor: macOS Sequoia

Impact: een kwaadaardig programma kan vertrouwelijke gebruikersinformatie vrijgeven

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

CVE-2025-24138: Rodolphe BRUNETTI (@eisw0lf) van Lupus Nova

StorageKit

Beschikbaar voor: macOS Sequoia

Impact: een kwaadaardige app kan mogelijk rootbevoegdheden verkrijgen

Beschrijving: een probleem met bevoegdheden is verholpen met aanvullende beperkingen.

CVE-2025-24107: een anonieme onderzoeker

StorageKit

Beschikbaar voor: macOS Sequoia

Impact: een lokale aanvaller kan zijn bevoegdheden mogelijk verhogen

Beschrijving: een bevoegdhedenprobleem is verholpen door verbeterde validatie.

CVE-2025-24176: Yann GASCUEL van Alter Solutions

System Extensions

Beschikbaar voor: macOS Sequoia

Impact: een app kan toegang krijgen tot verhoogde bevoegdheden

Beschrijving: dit probleem is verholpen door middel van verbeterde berichtvalidatie.

CVE-2025-24135: Arsenii Kostromin (0x3c3e)

Time Zone

Beschikbaar voor: macOS Sequoia

Impact: een app kan het telefoonnummer van een contactpersoon zien in systeemlogbestanden

Beschrijving: een privacyprobleem is verholpen door een verbeterde manier van onleesbaar maken van privégegevens voor logboekvermeldingen.

CVE-2025-24145: Kirin (@Pwnrin)

TV App

Beschikbaar voor: macOS Sequoia

Impact: een app kan vertrouwelijke locatiegegevens lezen

Beschrijving: dit probleem is verholpen door middel van verbeterde gegevensbescherming.

CVE-2025-24092: Adam M.

WebContentFilter

Beschikbaar voor: macOS Sequoia

Impact: een aanvaller kan mogelijk het onverwacht beëindigen van het systeem veroorzaken of het kernelgeheugen beschadigen

Beschrijving: een probleem met het schrijven buiten het bereik is verholpen door een verbeterde invoervalidatie.

CVE-2025-24154: een anonieme onderzoeker

WebKit

Beschikbaar voor: macOS Sequoia

Impact: een kwaadwillig vervaardigde webpagina heeft mogelijk toegang tot unieke gegevens of de locatie van de gebruiker

Beschrijving: het probleem is aangekaart met verbeterde toegangsrestricties voor het bestandssysteem.

CVE-2025-24143: een anonieme onderzoeker

WebKit

Beschikbaar voor: macOS Sequoia

Impact: het verwerken van webinhoud kan leiden tot een denial-of-service

Beschrijving: het probleem is verholpen door verbeterde geheugenverwerking.

CVE-2025-24158: Q1IQ (@q1iqF) van NUS CuriOSity en P1umer (@p1umer) van Imperial Global Singapore.

WebKit

Beschikbaar voor: macOS Sequoia

Impact: het verwerken van kwaadwillig vervaardigd webmateriaal kan leiden tot een onverwachte procescrash

Beschrijving: dit probleem is verholpen door verbeterd statusbeheer.

CVE-2025-24162: linjy van HKUS3Lab en chluo van WHUSecLab

WebKit Web Inspector

Beschikbaar voor: macOS Sequoia

Impact: het kopiëren van een URL uit Web Inspector kan leiden tot commando-injectie

Beschrijving: een privacyprobleem is verholpen door verbeterde verwerking van bestanden.

CVE-2025-24150: Johan Carlsson (joaxcar)

WindowServer

Beschikbaar voor: macOS Sequoia

Impact: een aanvaller kan de onverwachte beëindiging van apps veroorzaken

Beschrijving: dit probleem is verholpen door verbeterd beheer van objectlifetimes.

CVE-2025-24120: PixiePoint Security

Xsan

Beschikbaar voor: macOS Sequoia

Impact: een app kan mogelijk bevoegdheden verhogen

Beschrijving: een probleem met overloop van gehele getallen is verholpen door verbeterde invoervalidatie.

CVE-2025-24156: een anonieme onderzoeker

Aanvullende erkenning

Audio

Met dank aan Google Threat Analysis Group voor de hulp.

CoreAudio

Met dank aan Google Threat Analysis Group voor de hulp.

CoreMedia Playback

Met dank aan Song Hyun Bae (@bshyuunn) en Lee Dong Ha (Who4mI) voor de hulp.

DesktopServices

Met dank aan een anonieme onderzoeker voor de hulp.

Files

Met dank aan Chi Yuan Chang van ZUSO ART en taikosoup voor de hulp.

Passwords

Met dank aan Talal Haj Bakry en Tommy Mysk van Mysk Inc. @mysk_co voor de hulp.

sips

Met dank aan Hossein Lotfi (@hosselot) van Trend Micro Zero Day Initiative voor de hulp.

Static Linker

Met dank aan Holger Fuhrmannek voor de hulp.

VoiceOver

Met dank aan Bistrit Dahal en Dalibor Milanovic voor de hulp.